🇰🇷 한글 설명
OpenLDAP의 OpenSSL 사용 시 X.509 인증서 Subject CN 필드의 널 문자('\0')를 제대로 처리하지 못하는 취약점입니다. 합법적인 인증 기관에서 발급한 위조된 인증서로 MITM 공격자가 임의의 SSL 서버를 위장할 수 있습니다.
💡 쉬운 설명
SSL 보안 인증서 검증 과정에서 특수 문자를 제대로 확인하지 못해 가짜 서버인척 할 수 있게 하는 문제입니다. 공격자가 사용자의 LDAP 연결을 가로채 신원을 속일 수 있습니다.
🇺🇸 원문 (English)
libraries/libldap/tls_o.c in OpenLDAP 2.2 and 2.4, and possibly other versions, when OpenSSL is used, does not properly handle a '\0' character in a domain name in the subject's Common Name (CN) field of an X.509 certificate, which allows man-in-the-middle attackers to spoof arbitrary SSL servers via a crafted certificate issued by a legitimate Certification Authority, a related issue to CVE-2009-2408.
📍 영향받는 시스템
OpenLDAP 2.2, 2.4 및 그 이상 버전 (OpenSSL 라이브러리 사용 시)
⚔️ 공격 벡터
MITM 위치에서 CN에 널 문자를 포함한 합법 CA 발급 인증서를 사용하여 SSL 핸드셰이크 시 도메인 검증 우회
🛡️ 대응 방법
OpenLDAP를 2.4.22, 2.3.43 이상의 패치된 버전으로 업그레이드
🔧 검증 코드
OpenLDAP 버전이 2.4.22 이상(2.4.x) 또는 2.3.43 이상(2.3.x)인지 확인하고, 그보다 낮은 버전이면 패치 필요
ldapsearch -V 2>&1 | head -1 && dpkg -l 2>/dev/null | grep -E 'openldap|slapd'