🇰🇷 한글 설명
OpenSSL 0.9.8i 이하 버전에서 EVP_VerifyFinal 함수의 반환값을 제대로 검증하지 않는 취약점입니다. 공격자가 DSA 및 ECDSA 키에 대해 변조된 SSL/TLS 서명을 전송하여 인증서 체인 검증을 우회할 수 있습니다.
💡 쉬운 설명
OpenSSL이 디지털 서명 검증을 제대로 하지 않아 가짜 인증서도 유효한 것처럼 받아들입니다. 공격자가 위조된 인증서로 HTTPS 연결을 가로챌 수 있습니다.
🇺🇸 원문 (English)
OpenSSL 0.9.8i and earlier does not properly check the return value from the EVP_VerifyFinal function, which allows remote attackers to bypass validation of the certificate chain via a malformed SSL/TLS signature for DSA and ECDSA keys.
📍 영향받는 시스템
OpenSSL 0.9.8i 이하 모든 버전 (0.9.7, 0.9.8a~0.9.8i)
⚔️ 공격 벡터
원격 공격자가 악의적인 SSL/TLS 서명이 포함된 인증서를 제공하여 원본 검증 과정을 우회
🛡️ 대응 방법
OpenSSL을 0.9.8j 이상 버전으로 업그레이드하거나 더 최신 버전(1.0.0 이상)으로 마이그레이션
🔧 검증 코드
취약한 버전이 출력되면 업그레이드 필요, 아무것도 출력되지 않으면 안전
openssl version | grep -oE '0\.9\.[0-7]|0\.9\.8[a-i]'