🇰🇷 한글 설명
OpenSSL 0.9.8r 이하 및 1.0.0e 이전의 1.0.x 버전에서 ephemeral ECDH 암호화 기능이 클라이언트 핸드셰이크 메시지 처리 중 스레드 안전성을 보장하지 않아 발생하는 취약점입니다. 공격자가 TLS 프로토콜을 위반하는 비순서 메시지를 보내 데몬 충돌을 유발할 수 있습니다.
💡 쉬운 설명
OpenSSL의 보안 통신 설정 과정에서 여러 메시지가 순서 없이 처리되면 프로그램이 멈춰버리는 문제입니다. 인터넷 연결이 끊기지는 않지만 서버가 응답할 수 없게 됩니다.
🇺🇸 원문 (English)
The ephemeral ECDH ciphersuite functionality in OpenSSL 0.9.8 through 0.9.8r and 1.0.x before 1.0.0e does not ensure thread safety during processing of handshake messages from clients, which allows remote attackers to cause a denial of service (daemon crash) via out-of-order messages that violate the TLS protocol.
📍 영향받는 시스템
OpenSSL 0.9.8 ~ 0.9.8r, OpenSSL 1.0.0 ~ 1.0.0d
⚔️ 공격 벡터
원격 공격자가 비순서 TLS 핸드셰이크 메시지를 전송하여 서버 데몬 충돌 유도
🛡️ 대응 방법
OpenSSL을 1.0.0e 이상(1.0.x) 또는 0.9.8s 이상(0.9.8)으로 업그레이드
🔧 검증 코드
명령어가 버전을 출력하면 취약한 버전입니다. 출력이 없으면 안전한 버전을 사용 중입니다.
openssl version | grep -E '0\.9\.8[a-r]|1\.0\.0[a-d]'