🇰🇷 한글 설명
libcurl에서 mTLS 설정 관련 옵션이 변경되었음에도 불구하고 이전에 생성된 연결을 재사용하는 취약점이 발견되었습니다. 특히 개인 키와 관련된 TLS 설정이 연결 풀의 일치 확인 과정에서 누락되어, 보안 설정이 변경되었음에도 부적절하게 기존 연결이 유지될 수 있습니다.
💡 쉬운 설명
인터넷 연결 도구인 libcurl이 보안 인증서 설정을 바꿔도 예전 연결을 그대로 써버리는 문제입니다. 이로 인해 서로 다른 인증 정보를 사용해야 하는 상황에서 보안이 뚫릴 위험이 있습니다.
🇺🇸 원문 (English)
libcurl would reuse a previously created connection even when some mTLS config
related option had been changed that should have prohibited reuse.
libcurl keeps previously used connections in a connection pool for subsequent
transfers to reuse if one of them matches the setup. However, some TLS
settings related to client certificates were left out from the configuration
match checks, making them match too easily. In particular options related to
the private key.
📍 영향받는 시스템
mTLS 및 개인 키 설정을 사용하는 libcurl 라이브러리 사용 시스템
⚔️ 공격 벡터
변경되거나 제한되어야 할 인증 설정이 무시된 채 기존 연결이 재사용되는 것을 이용한 보안 우회
🛡️ 대응 방법
libcurl을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 libcurl 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 제조사의 보안 권고문과 비교하십시오.
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
curl 제품 보안 업데이트 권고
P4
📅 2026-06-29 · sec_notice
curl 및 libcurl 제품에서 인증 우회, 정보 노출, 메모리 오류 등 다수의 보안 취약점이 발견되었습니다. 8.21.0 미만 버전을 사용하는 사용자는 보안을 위해 최신 버전인 8.21.0 이상으로 업데이트해야 합니다.