🇰🇷 한글 설명
Eclipse aeriOS의 개발 버전 내 Federator 구성 요소가 기본적으로 외부 HTTPS 연결에 대한 TLS 인증서 검증을 비활성화합니다. 이로 인해 공격자가 네트워크 통신을 가로채 외부 서비스를 사칭하고 OAuth 자격 증명이나 토큰 같은 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
인터넷 연결 시 상대방이 진짜인지 확인하는 보안 절차가 꺼져 있는 상태입니다. 이로 인해 해커가 가짜 사이트로 위장하여 사용자의 중요한 비밀번호나 인증 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
In the current development version of Eclipse aeriOS, for which no official release has yet been published, the Federator component disables TLS certificate validation for outbound HTTPS connections by default. When the TLS_CERTIFICATE_VALIDATION environment variable is unset or set to false, the component configures its HTTP transport to skip TLS certificate verification.
As a result, an attacker able to intercept network communications between the Federator and external services could impersonate those services and intercept sensitive information transmitted over HTTPS, including OAuth client credentials and bearer tokens.
The issue has been addressed by enabling TLS certificate validation by default. The TLS_CERTIFICATE_VALIDATION environment variable is now set to true in the default configuration provided by the Helm chart and Docker Compose deployment.
📍 영향받는 시스템
Eclipse aeriOS (공식 출시 전 개발 버전)의 Federator 구성 요소
⚔️ 공격 벡터
네트워크 중간자 공격(Man-in-the-Middle)을 통한 서비스 사칭 및 데이터 탈취
🛡️ 대응 방법
TLS 인증서 검증을 기본적으로 활성화하고, Helm 차트 또는 Docker Compose 설정에서 TLS_CERTIFICATE_VALIDATION 환경 변수를 true로 설정합니다.
🔧 검증 코드
명령어 결과에서 TLS_CERTIFICATE_VALIDATION 값이 true로 설정되어 있는지 확인합니다.
docker inspect <container_id> | grep TLS_CERTIFICATE_VALIDATION