🇰🇷 한글 설명
OpenSSL의 CMS_verify 함수가 잘못된 서명 속성을 제대로 검증하지 못하는 취약점입니다. 공격자가 실제로는 유효하지 않은 서명을 유효한 것처럼 보이게 만들어 서명 부인(repudiation)을 할 수 있습니다.
💡 쉬운 설명
이메일이나 문서에 서명을 확인하는 기능에 결함이 있어서, 실제로는 잘못된 서명을 올바른 서명으로 인식할 수 있습니다. 이로 인해 공격자가 나중에 '나는 이것을 보낸 적이 없다'고 거짓 주장을 할 수 있습니다.
🇺🇸 원문 (English)
The CMS_verify function in OpenSSL 0.9.8h through 0.9.8j, when CMS is enabled, does not properly handle errors associated with malformed signed attributes, which allows remote attackers to repudiate a signature that originally appeared to be valid but was actually invalid.
📍 영향받는 시스템
OpenSSL 0.9.8h, 0.9.8i, 0.9.8j (CMS 기능 활성화된 경우)
⚔️ 공격 벡터
잘못된 서명 속성을 포함한 CMS 메시지를 전송하여 서명 검증 기능을 우회
🛡️ 대응 방법
OpenSSL을 0.9.8k 이상으로 업데이트
🔧 검증 코드
버전이 0.9.8h~0.9.8j 범위에 있으면 취약, 0.9.8k 이상이면 패치됨