🇰🇷 한글 설명
SLURM의 OpenSSL 암호화 모듈이 EVP_VerifyFinal 함수의 반환값을 제대로 검증하지 않아, 공격자가 악의적으로 조작된 SSL/TLS 서명으로 인증서 체인 검증을 우회할 수 있는 취약점입니다. 원격 공격자가 이를 악용하여 암호화 기반의 보안 메커니즘을 무효화할 수 있습니다.
💡 쉬운 설명
SLURM 프로그램이 디지털 서명을 확인할 때 완전히 검사하지 않아, 위조된 서명도 정상으로 인정될 수 있습니다. 공격자가 이를 이용해 정상적이지 않은 연결을 정상으로 속여 시스템에 접근할 수 있습니다.
🇺🇸 원문 (English)
plugins/crypto/openssl/crypto_openssl.c in Simple Linux Utility for Resource Management (aka SLURM or slurm-llnl) does not properly check the return value from the OpenSSL EVP_VerifyFinal function, which allows remote attackers to bypass validation of the certificate chain via a malformed SSL/TLS signature, a similar vulnerability to CVE-2008-5077.
📍 영향받는 시스템
SLURM (Simple Linux Utility for Resource Management) - 모든 버전의 crypto_openssl.c 모듈
⚔️ 공격 벡터
네트워크를 통해 조작된 SSL/TLS 서명을 전송하여 인증서 체인 검증 우회
🛡️ 대응 방법
SLURM을 보안 패치가 적용된 최신 버전으로 업그레이드
🔧 검증 코드
설치된 SLURM 패키지 버전 확인 후, 2009년 이후 배포된 패치 버전 설치 여부 확인 (보통 14.04 버전 이상)
dpkg -l | grep slurm || rpm -qa | grep slurm