🇰🇷 한글 설명
AWS IoT Device SDK for Python 1.5.3에서 1.6.0 버전 사이의 MQTT 클라이언트 TLS 연결 계층에서 호스트 불일치 인증서 검증 미흡 취약점이 발견되었습니다. 공격자는 신뢰할 수 있는 인증 기관이 발급한 다른 호스트용 인증서를 사용하여 AWS IoT Core 엔드포인트를 사칭할 수 있습니다. 이를 통해 장치의 텔레메트리 데이터를 탈취하거나 조작된 MQTT 메시지를 주입할 수 있습니다.
💡 쉬운 설명
기기가 접속하려는 서버가 진짜인지 확인하는 과정에서 이름이 다른 가짜 서버를 진짜로 착각할 수 있는 문제입니다. 해커가 중간에서 데이터를 훔쳐보거나 가짜 명령을 장치에 보낼 위험이 있습니다.
🇺🇸 원문 (English)
Improper validation of certificate with host mismatch in the MQTT client TLS connection layer in AWS IoT Device SDK for Python 1.5.3 through 1.6.0 on Python 3.7 and later might allow an adversary-in-the-middle actor to impersonate the AWS IoT Core endpoint, read device telemetry, and inject arbitrary MQTT messages that the device processes as authentic, via a certificate issued for an unrelated hostname by a certificate authority present in the device trust store.
To remediate this issue, users should upgrade to version 1.6.1.
📍 영향받는 시스템
AWS IoT Device SDK for Python 1.5.3 ~ 1.6.0 (Python 3.7 이상)
⚔️ 공격 벡터
중간자 공격(Man-in-the-Middle)을 통한 인증서 호스트 불일치 악용
🛡️ 대응 방법
AWS IoT Device SDK for Python을 1.6.1 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 Version이 1.6.1보다 낮으면 취약한 상태입니다.
pip show awsiotsdk | grep Version