vault-java-driver TLS 인증서 검증 해제 (HashiCorp Vault Java 클라이언트)
Vault 연결 도구가 보안 확인을 꺼서 정보를 엿볼 수 있습니다.
요약
Vault Java 클라이언트가 인증서와 호스트 이름 검증을 조용히 끄는 문제입니다. 네트워크 경로에 있는 공격자가 Vault 토큰과 비밀 정보를 엿보거나 응답을 위조할 수 있습니다. 5.2.0부터 6.2.3까지 영향을 받습니다.
해당 조건
- build() 호출 없이 VaultConfig에 전달된 SslConfig
- Java 역직렬화로 복원된 SslConfig
- VAULT_SSL_VERIFY를 "true" 외의 참 값(1, yes, on 등)으로 설정
대처법
7.0.0으로 업데이트하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인