🇰🇷 한글 설명
OpenSSL 0.9.8m 이전 버전에서 bn_wexpand 함수의 NULL 반환값 검사 부재로 인한 취약점으로, 암호화 연산 중 포인터 역참조 오류가 발생할 수 있습니다. 메모리 할당 실패 시 프로그램이 비정상 동작하거나 공격자에 의해 조작될 수 있으며, 영향은 컨텍스트에 따라 다양합니다.
💡 쉬운 설명
OpenSSL의 메모리 처리 오류로 인해 암호화 작업 중 프로그램이 예상치 못한 상태로 빠질 수 있습니다. 웹 서버, 이메일 서버 등 SSL을 사용하는 거의 모든 인터넷 서비스가 영향을 받을 수 있습니다.
🇺🇸 원문 (English)
OpenSSL before 0.9.8m does not check for a NULL return value from bn_wexpand function calls in (1) crypto/bn/bn_div.c, (2) crypto/bn/bn_gf2m.c, (3) crypto/ec/ec2_smpl.c, and (4) engines/e_ubsec.c, which has unspecified impact and context-dependent attack vectors.
📍 영향받는 시스템
OpenSSL 0.9.8m 이전 버전 (특히 0.9.7, 0.9.8a-0.9.8l); Apache, Nginx, Postfix, Dovecot 등 SSL/TLS 의존 소프트웨어
⚔️ 공격 벡터
특정 암호화 연산(타원곡선, GF2m 계산, RSA 나눗셈)에서 메모리 할당 실패를 트리거하여 NULL 포인터 역참조 유발
🛡️ 대응 방법
OpenSSL을 0.9.8m 이상으로 업그레이드 (apt-get install --only-upgrade openssl 또는 yum update openssl)
🔧 검증 코드
취약한 버전 감지 시 'VULNERABLE' 출력, 패치된 버전(0.9.8m 이상)이면 'PATCHED/OK' 출력
openssl version | grep -oE '0\.(9\.[0-7][^0-9]|[0-8]\.)' && echo 'VULNERABLE' || echo 'PATCHED/OK'