Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
Rustls 라이브러리 버전 0.23.46이 출시되었으며, 네 가지 주요 보안 수정 사항을 포함합니다. 이 업데이트는 Brotli 인증서 압축 해제 취약점, 세션 디버그 포맷팅으로 인한 키 노출 문제, 개별 이름 키 교환 힌트 오염 방지, 그리고 ECH 거부 시 데이터 전송 문제를 해결했습니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 Phoronix의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기PROGRAMMING
이번 새로운 Rustls 라이브러리 릴리스에서 첫 번째 보안 수정은 Brotli 인증서 압축 해제와 관련이 있습니다. 이 기능은 내장되어 있지만 기본적으로 비활성화되어 있으며, 인증이 이루어지기 전에 공격자가 제어하는 최대 1GB의 메모리를 할당할 수 있었습니다.
또 다른 문제는 세션 디버그 포맷팅(session debug formatting)이 TLS 마스터 시크릿(master secrets)과 재개 PSK(resumption PSKs)를 노출한다는 것입니다. 결과적으로 이러한 중요한 키들이 로그 파일을 통해 유출될 수 있습니다.
세 번째 문제는 인증되지 않은 ServerHello가 개별 이름 키 교환 힌트(per-name key-exchange hints)를 오염시켜, 이후의 ClientHello가 클래식 X25519 공유 값만을 포함하게 만든다는 것입니다.
마지막으로 이번 릴리스에서 수정된 보안 문제는 클라이언트가 핸드셰이크 완료 이전에 버퍼링하는 애플리케이션 데이터가 서버가 암호화된 Client Hello (ECH)를 거부하더라도 서버로 전송된다는 점입니다.
이 네 가지 보안 수정 외에도, Rustls 0.23.46에는 여러 다른 버그 수정 사항도 포함되어 있습니다. 이번 릴리스에서 수정된 버그 중 열세 개는 OpenAI에 의해 발견 및 보고되었으며, 여기에는 두 가지의 보안 문제도 포함됩니다.
GitHub를 통해 방금 출시된 Rustls 0.23.46의 다운로드 및 더 자세한 내용은 확인할 수 있습니다.