🇰🇷 한글 설명
Mastodon의 특정 버전에서 LDAP 인증 시 SSL/TLS 인증서 검증을 비활성화하는 취약점이 발견되었습니다. LDAP_TLS_NO_VERIFY=true 설정 사용 시 OpenSSL의 기본 파라미터를 변조하여 Puma 웹 프로세스의 모든 요청에 대해 SSL 검증을 전역적으로 무력화합니다.
💡 쉬운 설명
Mastodon 서버 설정 오류로 인해 보안 연결(SSL)의 인증서 확인 절차가 꺼질 수 있는 문제입니다. 이로 인해 해커가 중간에서 통신 내용을 가로채거나 조작할 위험이 있습니다.
🇺🇸 원문 (English)
Mastodon is a free, open-source social network server based on ActivityPub. Prior to 4.4.19 and from 4.5.0 until 4.5.12, Mastodon's app/models/concerns/user/ldap_authenticable.rb mutates OpenSSL::SSL::SSLContext::DEFAULT_PARAMS when LDAP authentication uses LDAP_TLS_NO_VERIFY=true, disabling SSL and TLS certificate verification globally for requests made by puma web processes while sidekiq background jobs remain unaffected. This issue is fixed in versions 4.4.19 and 4.5.12.
📍 영향받는 시스템
Mastodon 4.4.19 미만 버전 및 4.5.0 ~ 4.5.12 버전
⚔️ 공격 벡터
중간자 공격(Man-in-the-Middle)을 통해 암호화된 통신을 탈취하거나 조작
🛡️ 대응 방법
Mastodon을 4.4.19 또는 4.5.12 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 취약한 범위(4.4.19 미만 또는 4.5.0~4.5.12)에 해당하면 취약한 상태입니다.
bundle exec gem list mastodon | grep -E '(\(4\.[44]\.[0-9]{2,}|4\.[5]\.[0-1][0-2]\))'