🇰🇷 한글 설명
Apache bRPC 1.18.0 미만 버전에서 클라이언트 TLS 피어 검증이 활성화되어 있어도 인증서를 기대하는 DNS 이름이나 IP 주소와 결합하지 않는 취약점이 존재합니다. 네트워크 공격자가 신뢰할 수 있는 CA로부터 발급받은 다른 이름의 인증서를 사용하여 요청된 TLS 엔드포인트를 사칭할 수 있습니다.
💡 쉬운 설명
인증서가 진짜인지 확인은 하지만, 그 인증서가 '내가 접속하려는 그 사이트'의 것인지 확인하지 않는 문제입니다. 이를 통해 해커가 가짜 사이트로 사용자를 유인하여 정보를 가로챌 수 있습니다.
🇺🇸 원문 (English)
Apache bRPC versions before 1.18.0 validate the server certificate chain when client TLS peer verification is enabled, but do not bind the certificate to an expected DNS name or IP address. A network attacker who can redirect or intercept a connection and who possesses a certificate issued by a CA trusted by the client for another name may impersonate the requested TLS endpoint.
Affected Scenarios:
Applications use a bRPC client Channel to connect to an untrusted network with certificate verification enabled and trust a CA that can issue certificates for identities other than the intended endpoint.
How to Fix:
Upgrade to Apache bRPC 1.18.0 and enable VERIFY_PEER with a positive verify_depth. HTTPS Channels automatically verify the certificate against the host in the Channel URL. Callers may set VerifyOptions::expected_peer_name explicitly when the certificate identity differs from the URL host. Alternatively, apply the patch from https://github.com/apache/brpc/pull/3408 .
Note:
The new option performs DNS SAN or IP SAN verification during the TLS handshake. Configurations that set expected_peer_name while peer verification is disabled are rejected.
📍 영향받는 시스템
Apache bRPC versions before 1.18.0
⚔️ 공격 벡터
네트워크 중간에서 연결을 가로채고 신뢰받는 CA가 발급한 다른 도메인의 인증서를 제시하여 서버를 사칭함
🛡️ 대응 방법
Apache bRPC 1.18.0 이상으로 업그레이드하거나, VerifyOptions::expected_peer_name을 명시적으로 설정함
🔧 검증 코드
설치된 bRPC의 버전을 확인하여 1.18.0 미만인 경우 취약한 상태로 판단함
brpc_version_check() { brpc_version_cmd 2>/dev/null || echo 'Check your bRPC installation version'; }; brpc_version_check