🇰🇷 한글 설명
Lasso 2.2.1 이하 버전에서 OpenSSL의 DSA_verify 함수 반환값을 제대로 검증하지 않아 발생하는 취약점입니다. 이를 악용하면 공격자가 malformed SSL/TLS 서명을 통해 인증서 체인 검증을 우회할 수 있습니다.
💡 쉬운 설명
Lasso 웹 서버가 보안 서명을 제대로 확인하지 않아서, 가짜 보안 인증서를 사용할 수 있게 되는 문제입니다. 공격자가 정당하지 않은 SSL 연결을 만들어낼 수 있습니다.
🇺🇸 원문 (English)
Lasso 2.2.1 and earlier does not properly check the return value from the OpenSSL DSA_verify function, which allows remote attackers to bypass validation of the certificate chain via a malformed SSL/TLS signature, a similar vulnerability to CVE-2008-5077.
📍 영향받는 시스템
Lasso 2.2.1 이하 버전
⚔️ 공격 벡터
원격 공격자가 malformed SSL/TLS 서명이 포함된 요청을 전송하여 인증서 검증 우회
🛡️ 대응 방법
Lasso를 2.2.2 이상 버전으로 업그레이드
🔧 검증 코드
Lasso 패키지 설치 여부 및 버전 확인, 2.2.1 이하 버전이 설치되어 있으면 업그레이드 필요
dpkg -l lasso 2>/dev/null | grep lasso || rpm -qa | grep -i lasso || find /opt -name 'lasso' -type f 2>/dev/null