🇰🇷 한글 설명
libcurl에서 CURLOPT_PINNEDPUBLICKEY를 설정했더라도 CURLOPT_SSL_VERIFYPEER 및 CURLOPT_SSL_VERIFYHOST를 0으로 설정하여 표준 피어 검증을 비활성화한 경우, 서버 인증서가 제시되지 않은 연결에 대해 공개 키 핀닝을 강제하지 못하는 취약점입니다. 이로 인해 검증이 비활성화된 조건에서 핀닝 체크를 우회하여 인증되지 않은 연결이 성공할 수 있습니다.
💡 쉬운 설명
보안 설정을 일부 해제했을 때, 원래는 차단되어야 할 가짜 서버와의 연결이 허용되는 보안 구멍이 발견되었습니다. 이로 인해 해커가 중간에서 통신을 가로채거나 속일 위험이 있습니다.
🇺🇸 원문 (English)
When `CURLOPT_PINNEDPUBLICKEY` is configured alongside options that disable
standard peer verification (`CURLOPT_SSL_VERIFYPEER = 0` and
`CURLOPT_SSL_VERIFYHOST = 0`), libcurl fails to enforce public key pinning on
connections established without a presented server certificate. Bypassing the
pinning check under these disabled-verification conditions allows
unauthenticated connections to succeed when they should be rejected.
📍 영향받는 시스템
libcurl (CURLOPT_PINNEDPUBLICKEY와 SSL 검증 비활성화 옵션을 함께 사용하는 환경)
⚔️ 공격 벡터
SSL 검증 옵션이 꺼진 상태에서 서버 인증서 없이 연결을 시도하여 공개 키 핀닝 검사를 우회함
🛡️ 대응 방법
libcurl을 최신 보안 패치가 적용된 버전으로 업데이트하거나, SSL 검증 옵션(VERIFYPEER, VERIFYHOST)을 활성화함
🔧 검증 코드
출력된 libcurl 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 확인합니다.