🇰🇷 한글 설명
OpenSSL 0.9.8f~0.9.8h의 zlib_stateful_init 함수에서 메모리 누수 취약점이 존재합니다. 원격 공격자는 압축 알고리즘을 지정한 SSL 클라이언트 핸드셰이크를 반복하여 서버의 메모리를 고갈시킬 수 있습니다.
💡 쉬운 설명
OpenSSL의 버그로 인해 특정 SSL 연결을 계속 시도하면 서버 메모리가 낭비됩니다. 공격자가 이를 반복하면 서버가 응답 불가 상태에 빠집니다.
🇺🇸 원문 (English)
Memory leak in the zlib_stateful_init function in crypto/comp/c_zlib.c in libssl in OpenSSL 0.9.8f through 0.9.8h allows remote attackers to cause a denial of service (memory consumption) via multiple calls, as demonstrated by initial SSL client handshakes to the Apache HTTP Server mod_ssl that specify a compression algorithm.
📍 영향받는 시스템
OpenSSL 0.9.8f, 0.9.8g, 0.9.8h (Apache mod_ssl 포함)
⚔️ 공격 벡터
원격 공격자가 압축 알고리즘을 지정한 SSL 핸드셰이크를 다중 반복하여 메모리 소비 유발
🛡️ 대응 방법
OpenSSL을 0.9.8i 이상으로 업그레이드하거나 zlib 압축 기능 비활성화
🔧 검증 코드
취약한 버전(0.9.8f~0.9.8h)이 출력되면 긴급 패치 필요, 0.9.8i 이상이면 안전합니다.
openssl version | grep -E '0\.9\.8[f-h]'