🇰🇷 한글 설명
부모 HSTS 항목을 더 긴 수명을 가진 자식 항목보다 먼저 가져올 경우, 자식 항목이 조용히 삭제되는 취약점입니다. 이로 인해 부모 정책이 만료되면 유효한 자식 HSTS 정책도 함께 소실되어, curl이 HTTPS로 업그레이드하지 않고 암호화되지 않은 HTTP 요청을 보낼 수 있습니다.
💡 쉬운 설명
보안 연결을 강제하는 설정이 잘못된 순서로 처리되어 사라지는 문제입니다. 이로 인해 중요한 데이터가 암호화되지 않은 일반 통신으로 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Importing a `includeSubDomains` parent HSTS entry before a longer-lived child
entry, silently drops the child. Consequently, when the parent expires, the
child's valid HSTS policy is lost, causing curl to issue unencrypted HTTP
requests rather than upgrading to HTTPS.
📍 영향받는 시스템
curl (HSTS 처리 로직 관련 버전)
⚔️ 공격 벡터
HSTS 정책의 로드 순서를 조작하여 보안 정책을 무력화하고 암호화되지 않은 통신을 유도함
🛡️ 대응 방법
curl을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 curl 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 제조사의 보안 권고안과 비교하십시오.