🇰🇷 한글 설명
M2Crypto는 OpenSSL의 EVP_VerifyFinal, DSA_verify, ECDSA_verify 등 함수의 반환값을 제대로 검증하지 않아, 악의적으로 조작된 SSL/TLS 서명을 통해 인증서 체인 검증을 우회할 수 있는 취약점입니다. CVE-2008-5077과 유사한 암호화 검증 우회 문제입니다.
💡 쉬운 설명
M2Crypto가 디지털 서명이 올바른지 확인할 때 검증 결과를 제대로 체크하지 않습니다. 이로 인해 위조된 서명을 가진 인증서를 유효한 것으로 받아들일 수 있습니다.
🇺🇸 원문 (English)
M2Crypto does not properly check the return value from the OpenSSL EVP_VerifyFinal, DSA_verify, ECDSA_verify, DSA_do_verify, and ECDSA_do_verify functions, which might allow remote attackers to bypass validation of the certificate chain via a malformed SSL/TLS signature, a similar vulnerability to CVE-2008-5077. NOTE: a Linux vendor disputes the relevance of this report to the M2Crypto product because "these functions are not used anywhere in m2crypto.
📍 영향받는 시스템
M2Crypto 모든 버전 (단, 실제 영향도는 논쟁 중)
⚔️ 공격 벡터
악의적으로 조작된 SSL/TLS 인증서의 서명을 네트워크를 통해 제시하여 검증 우회
🛡️ 대응 방법
M2Crypto를 최신 버전으로 업데이트하고 서명 검증 로직이 패치된 OpenSSL 버전 사용
🔧 검증 코드
설치된 M2Crypto 버전 확인; 취약점 패치 버전 이상 여부 확인 필요
pip list | grep -i m2crypto