🇰🇷 한글 설명
OpenSSL의 zlib_stateful_finish 함수에서 메모리 누수 취약점이 발생하여 원격 공격자가 CRYPTO_cleanup_all_ex_data 함수의 부정확한 호출을 통해 메모리 소비 서비스 거부 공격을 수행할 수 있습니다. SSLv3 및 PHP/Apache HTTP Server 환경에서 특히 악용됩니다.
💡 쉬운 설명
OpenSSL의 보안 라이브러리에서 메모리가 제대로 정리되지 않아 공격자가 의도적으로 서버의 메모리를 소진시킬 수 있습니다. 이로 인해 웹 서버의 성능 저하나 서비스 중단이 발생합니다.
🇺🇸 원문 (English)
Memory leak in the zlib_stateful_finish function in crypto/comp/c_zlib.c in OpenSSL 0.9.8l and earlier and 1.0.0 Beta through Beta 4 allows remote attackers to cause a denial of service (memory consumption) via vectors that trigger incorrect calls to the CRYPTO_cleanup_all_ex_data function, as demonstrated by use of SSLv3 and PHP with the Apache HTTP Server, a related issue to CVE-2008-1678.
📍 영향받는 시스템
OpenSSL 0.9.8l 이하, 1.0.0 Beta~Beta 4 (SSLv3 및 PHP/Apache HTTP Server 환경)
⚔️ 공격 벡터
SSLv3 연결을 통해 반복적인 압축/암호화 작업을 요청하여 메모리 누수 발생
🛡️ 대응 방법
OpenSSL을 0.9.8m 이상 또는 1.0.0 정식 릴리스 버전 이상으로 업그레이드
🔧 검증 코드
0.9.8a~l 또는 1.0.0 Beta 버전이 출력되면 취약, 그 이상 버전이면 안전
openssl version 2>/dev/null | grep -E '0\.9\.8[a-l]|1\.0\.0.*Beta' && echo '취약함' || echo '안전함'