🇰🇷 한글 설명
Belgian eID 미들웨어(eidlib) 2.6.0 이하가 OpenSSL EVP_VerifyFinal 함수의 반환값을 제대로 검증하지 않아, DSA 및 ECDSA 키의 잘못된 서명으로 인증서 체인 검증을 우회할 수 있습니다. 이를 통해 공격자가 위조된 인증서를 승인하게 할 수 있습니다.
💡 쉬운 설명
벨기에 신분증 프로그램의 서명 검사 기능에 결함이 있어서 가짜 인증서가 진짜인 것처럼 통과될 수 있습니다. 공격자는 이를 악용하여 사용자를 속이고 신원 정보를 도용할 수 있습니다.
🇺🇸 원문 (English)
Belgian eID middleware (eidlib) 2.6.0 and earlier does not properly check the return value from the OpenSSL EVP_VerifyFinal function, which allows remote attackers to bypass validation of the certificate chain via a malformed SSL/TLS signature for DSA and ECDSA keys, a similar vulnerability to CVE-2008-5077.
📍 영향받는 시스템
Belgian eID middleware (eidlib) 버전 2.6.0 이하
⚔️ 공격 벡터
공격자가 DSA 또는 ECDSA 키로 서명된 잘못된 SSL/TLS 서명을 전송하여 인증서 체인 검증 우회
🛡️ 대응 방법
eidlib를 2.6.1 이상으로 업그레이드
🔧 검증 코드
설치된 eid 관련 패키지 목록과 사용 가능한 최신 버전을 확인하여, 설치된 버전이 2.6.0 이하인지 확인
dpkg -l 2>/dev/null | grep -i eid && apt-cache policy eidlib 2>/dev/null | grep Candidate