🇰🇷 한글 설명
X509_verify_cert 호출 실패 시 검증되지 않은 공격자의 CA가 공유 CertManager에 영구적으로 등록되는 취약점입니다. 이로 인해 TLS, OCSP, CRL 등 인증서 검증을 수행하는 모든 관련 기능에서 인증서 검증이 우회될 수 있습니다.
💡 쉬운 설명
인증서 검사 과정에서 오류가 발생하면 공격자의 가짜 인증서가 시스템에 '안전한 것'으로 잘못 저장되는 문제입니다. 이렇게 되면 공격자가 만든 가짜 사이트나 통신을 시스템이 진짜로 믿게 됩니다.
🇺🇸 원문 (English)
A failed X509_verify_cert call permanently plants an unverified attacker CA in the shared CertManager, bypassing certificate validation in every type-blind sibling consumer (native TLS, OCSP, CRL, direct CM verify). This affects version 5.8.4 through 5.9.2 of wolfSSL with the macros (OPENSSL_EXTRA && !NO_CERTS && !WOLFCRYPT_ONLY) defined or built with --enable-opensslextra and the application is specifically making calls to the X509_verify_cert function.
📍 영향받는 시스템
wolfSSL version 5.8.4 ~ 5.9.2 (OPENSSL_EXTRA 및 관련 매크로 활성화 시)
⚔️ 공격 벡터
X509_verify_cert 함수를 호출하는 애플리케이션을 대상으로 조작된 인증서를 전달하여 CertManager를 오염시킴
🛡️ 대응 방법
wolfSSL을 최신 보안 패치가 적용된 버전으로 업데이트하거나, 취약한 매크로 설정 사용을 지양함
🔧 검증 코드
명령어 결과에 5.8.4에서 5.9.2 사이의 버전 번호가 출력되면 취약한 버전이 설치된 것입니다.
wolfssl_version_cmd=$(wolfssl_version_command 2>/dev/null || echo 'not installed'); echo $wolfssl_version_cmd | grep -E '5\.(8\.[4-9]|9\.[0-2])'