🇰🇷 한글 설명
OpenEvidence 1.0.6 이하 버전에서 OpenSSL의 EVP_VerifyFinal 함수 반환값을 제대로 검증하지 않아 DSA, ECDSA 서명 검증이 우회될 수 있다. 공격자는 악의적인 SSL/TLS 서명으로 인증서 체인 검증을 무효화할 수 있다.
💡 쉬운 설명
OpenEvidence 라이브러리가 디지털 서명을 확인할 때 제대로 확인하지 않는 문제다. 공격자가 가짜 서명을 제시해도 통과될 수 있다.
🇺🇸 원문 (English)
OpenEvidence 1.0.6 and earlier does not properly check the return value from the OpenSSL EVP_VerifyFinal function, which allows remote attackers to bypass validation of the certificate chain via a malformed SSL/TLS signature for DSA and ECDSA keys, a similar vulnerability to CVE-2008-5077.
📍 영향받는 시스템
OpenEvidence 1.0.6 이하, OpenSSL을 사용하는 모든 XML 디지털 서명 기반 시스템
⚔️ 공격 벡터
악의적으로 조작된 DSA/ECDSA SSL/TLS 서명을 서버에 제시하여 인증서 검증 우회
🛡️ 대응 방법
OpenEvidence를 1.0.7 이상으로 업그레이드하거나 EVP_VerifyFinal 반환값을 명시적으로 검증하는 패치 적용
🔧 검증 코드
설치된 OpenEvidence 패키지와 버전을 확인. 출력이 없거나 1.0.6 이하면 취약
dpkg -l 2>/dev/null | grep -i openevidence || rpm -qa 2>/dev/null | grep -i openevidence || echo 'Not found'