🇰🇷 한글 설명
OpenSSL 0.9.8j 이전 버전에서 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 옵션이 활성화될 때, 공격자가 네트워크 트래픽을 스니핑하여 세션 식별자를 탈취한 후 비활성화된 암호 스위트를 세션 캐시에서 강제로 사용하도록 할 수 있습니다. 이를 통해 보안이 약한 암호화 방식으로 통신을 강제당하는 취약점입니다.
💡 쉬운 설명
구 버전 OpenSSL에서 해커가 네트워크에서 세션 정보를 훔친 후 약한 암호화를 강제로 사용하도록 만들 수 있습니다. 이로 인해 암호화된 통신의 보안 강도가 급격히 약해집니다.
🇺🇸 원문 (English)
OpenSSL before 0.9.8j, when SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG is enabled, does not prevent modification of the ciphersuite in the session cache, which allows remote attackers to force the use of a disabled cipher via vectors involving sniffing network traffic to discover a session identifier, a different vulnerability than CVE-2010-4180.
📍 영향받는 시스템
OpenSSL before 0.9.8j
⚔️ 공격 벡터
네트워크 트래픽 스니핑으로 세션 식별자를 발견 후 세션 캐시의 암호 스위트 수정
🛡️ 대응 방법
OpenSSL을 0.9.8j 이상으로 업그레이드하거나 SSL_OP_NETSCAPE_REUSE_CIPHER_CHANGE_BUG 옵션 비활성화
🔧 검증 코드
openssl 버전이 0.9.8j 이상이고 시스템 패키지의 OpenSSL도 최신 버전으로 설치되어 있으면 취약점이 해결된 상태입니다.
openssl version | grep -oE '[0-9]+\.[0-9]+\.[0-9]+[a-z]?' && dpkg -l | grep openssl || rpm -qa | grep openssl