🇰🇷 한글 설명
Debian 패치된 OpenSSH의 로그인 타임아웃 시그널 핸들러에서 async-signal-safe하지 않은 함수 사용으로 인한 취약점입니다. 원격 공격자가 여러 로그인 시도를 통해 연결 슬롯 고갈(DoS)을 유발할 수 있습니다. CVE-2006-5051의 부정확한 수정으로 인해 발생했습니다.
💡 쉬운 설명
OpenSSH의 로그인 시간 제한 기능에 버그가 있어 공격자의 반복된 로그인 시도로 서버 연결이 모두 차단될 수 있습니다. 결과적으로 정상 사용자가 접속할 수 없게 됩니다.
🇺🇸 원문 (English)
A certain Debian patch for OpenSSH before 4.3p2-9etch3 on etch; before 4.6p1-1 on sid and lenny; and on other distributions such as SUSE uses functions that are not async-signal-safe in the signal handler for login timeouts, which allows remote attackers to cause a denial of service (connection slot exhaustion) via multiple login attempts. NOTE: this issue exists because of an incorrect fix for CVE-2006-5051.
📍 영향받는 시스템
Debian etch 4.3p2-9etch3 미만, sid/lenny 4.6p1-1 미만, SUSE 등 다른 배포판의 OpenSSH
⚔️ 공격 벡터
원격에서 다중 로그인 시도를 통한 서비스 거부(DoS) 공격
🛡️ 대응 방법
OpenSSH를 패치된 버전으로 업데이트: etch는 4.3p2-9etch3 이상, sid/lenny는 4.6p1-1 이상
🔧 검증 코드
설치된 OpenSSH 버전을 확인하여 취약한 버전(미패치)인지 검증합니다.
dpkg -l openssh-server 2>/dev/null | grep openssh-server