🇰🇷 한글 설명
OpenSSL의 SSLv2 클라이언트 코드 get_server_hello 함수에서 null 포인터 역참조로 인한 서비스 거부 취약점. 원격 서버가 악의적인 응답을 전송하여 클라이언트를 충돌시킬 수 있다. 버전 0.9.7l 이전, 0.9.8d 이전의 모든 OpenSSL이 영향을 받는다.
💡 쉬운 설명
OpenSSL 보안 라이브러리의 구버전에서 특정 웹서버와 통신할 때 클라이언트 프로그램이 예기치 않게 종료될 수 있습니다. 악의적인 서버 운영자가 이를 악용하여 접속하는 사용자의 서비스를 중단시킬 수 있습니다.
🇺🇸 원문 (English)
The get_server_hello function in the SSLv2 client code in OpenSSL 0.9.7 before 0.9.7l, 0.9.8 before 0.9.8d, and earlier versions allows remote servers to cause a denial of service (client crash) via unknown vectors that trigger a null pointer dereference.
📍 영향받는 시스템
OpenSSL 0.9.7 (0.9.7l 미만), 0.9.8 (0.9.8d 미만), 0.9.6 이하
⚔️ 공격 벡터
원격 서버가 SSLv2 핸드셰이크 중 조작된 서버 응답(server hello)을 전송하여 클라이언트의 null 포인터 역참조 유발
🛡️ 대응 방법
OpenSSL을 0.9.7l 이상 또는 0.9.8d 이상으로 즉시 업그레이드
🔧 검증 코드
VULNERABLE이면 현재 OpenSSL 버전이 CVE-2006-4343에 영향을 받으므로 즉시 패치 필요. PATCHED이면 보안 업데이트가 적용된 안전한 버전.
openssl version 2>/dev/null | grep -qE '0\.9\.[0-6]|0\.9\.7[^l]|0\.9\.8[^d]' && echo VULNERABLE || echo PATCHED