curl의 점(.) 재앙: 두 개의 CVE와 끝없는 추격

curl 팀은 URL 내 호스트 이름의 끝에 오는 점(.) 때문에 지속적인 문제를 겪어왔습니다. 처음에는 무시했지만, 나중에 끝에 점이 필요한 웹사이트를 지원하기 위해 지원을 복구했습니다. 그러나 이 변경으로 쿠키 처리 및 HSTS 메커니즘에 각각 영향을 미치는 두 개의 보안 취약점(CVE-2022-27779 및 CVE-2022-30115)이 의도치 않게 도입되었습니다. 이러한 취약점은 끝에 오는 점을 부적절하게 처리하여 잘못된 도메인 일치를 야기한 것이 원인입니다. curl 7.83.1은 이러한 문제를 해결하지만, 저자는 이것이 장기간의 싸움의 시작일 뿐이라고 의심하고 있습니다.