🇰🇷 한글 설명
libcrypt-openssl-dsa-perl 라이브러리가 OpenSSL DSA_verify 및 DSA_do_verify 함수의 반환값을 올바르게 검사하지 않아, 공격자가 잘못된 형식의 SSL/TLS 서명을 통해 인증서 체인 검증을 우회할 수 있는 취약점입니다. 이는 CVE-2008-5077과 유사한 서명 검증 실패 문제입니다.
💡 쉬운 설명
Perl의 암호화 라이브러리가 디지털 서명을 확인할 때 실수를 하기 때문에, 가짜 서명이 진짜인 척할 수 있습니다. 이로 인해 속임수로 신뢰할 수 없는 서버에 안전하게 연결될 수 있습니다.
🇺🇸 원문 (English)
libcrypt-openssl-dsa-perl does not properly check the return value from the OpenSSL DSA_verify and DSA_do_verify functions, which might allow remote attackers to bypass validation of the certificate chain via a malformed SSL/TLS signature, a similar vulnerability to CVE-2008-5077.
📍 영향받는 시스템
libcrypt-openssl-dsa-perl 패키지 (Perl 및 관련 암호화 애플리케이션)
⚔️ 공격 벡터
악의적인 SSL/TLS 인증서와 잘못된 DSA 서명을 포함한 MITM(중간자) 공격
🛡️ 대응 방법
libcrypt-openssl-dsa-perl를 최신 버전으로 업그레이드하여 DSA 서명 검증 로직 수정
🔧 검증 코드
패키지 설치 여부 확인; 설치되어 있으면 버전 확인 후 CVE-2009-0129 패치가 포함된 버전인지 릴리스 노트 검증 필요
dpkg -l libcrypt-openssl-dsa-perl 2>/dev/null | grep -E 'libcrypt-openssl-dsa-perl.*[0-9]\.[0-9]' || perl -e 'eval {require Crypt::OpenSSL::DSA} and print "Installed\n"'