🇰🇷 한글 설명
OpenSSL ssl/t1_lib.c의 OCSP 스테이플링 기능에서 ClientHello 핸드셰이크 메시지를 부정확하게 처리하여 메모리 경계 외 접근(out-of-bounds access)이 발생합니다. 원격 공격자가 악의적인 메시지를 전송하여 서비스 거부(DoS) 또는 민감 정보 유출을 초래할 수 있습니다.
💡 쉬운 설명
OpenSSL 암호화 라이브러리에서 인터넷 연결 시작 메시지를 잘못 처리하면 애플리케이션이 예기치 않게 종료되거나 정보가 노출됩니다. 특별한 메시지 하나만으로도 누구나 공격할 수 있습니다.
🇺🇸 원문 (English)
ssl/t1_lib.c in OpenSSL 0.9.8h through 0.9.8q and 1.0.0 through 1.0.0c allows remote attackers to cause a denial of service (crash), and possibly obtain sensitive information in applications that use OpenSSL, via a malformed ClientHello handshake message that triggers an out-of-bounds memory access, aka "OCSP stapling vulnerability."
📍 영향받는 시스템
OpenSSL 0.9.8h~0.9.8q, 1.0.0~1.0.0c
⚔️ 공격 벡터
Remote: 악의적인 ClientHello 핸드셰이크 메시지를 통한 OCSP 스테이플링 처리 중 메모리 경계 외 접근 트리거
🛡️ 대응 방법
OpenSSL을 0.9.8r 이상 또는 1.0.0d 이상으로 즉시 업그레이드
🔧 검증 코드
버전이 출력되면 취약한 상태입니다. 버전이 표시되지 않으면 패치됨을 의미합니다.
openssl version | grep -E '0\.9\.8[h-q]|1\.0\.0[a-c]'