🇰🇷 한글 설명
Apache HttpComponents Client 5.4 이상 버전의 비동기 HttpClient에서 TLS 호스트 이름 검증이 제대로 이루어지지 않는 취약점입니다. 공격자가 중간에서 트래픽을 가로채 다른 도메인의 유효한 인증서를 제시할 경우 서버를 사칭할 수 있습니다.
💡 쉬운 설명
인터넷 연결 시 접속하려는 사이트가 진짜인지 확인하는 과정에 오류가 있는 상태입니다. 해커가 가짜 사이트로 연결을 유도하여 사용자의 정보를 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
Improper TLS hostname verification vulnerability in Apache HttpComponents Client 5.4 or newer. HostnameVerificationPolicy#BUILTIN setting has no effect when used with the async version of HttpClient. An attacker that can intercept and modify traffic between the client and the server can impersonate the server by presenting a valid certificate for a different domain.
Please note the classic version of HttpClient is not affected by this vulnerability.
Affected users are recommended to upgrade to at least version 5.6.4, which fixes the issue.
📍 영향받는 시스템
Apache HttpComponents Client 5.4 및 그 이상의 비동기 HttpClient 버전
⚔️ 공격 벡터
중간자 공격(Man-in-the-Middle)을 통해 다른 도메인의 인증서를 사용하여 서버를 사칭함
🛡️ 대응 방법
Apache HttpComponents Client를 취약점이 해결된 5.6.4 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 결과에서 httpclient5의 버전이 5.4 이상 5.6.4 미만인지 확인하십시오.
mvn dependency:tree | grep 'org.apache.httpcomponents.client5'