🇰🇷 한글 설명
OpenSSL의 asn1_d2i_read_bio 함수가 정수 데이터를 올바르게 해석하지 못하여 버퍼 오버플로우가 발생합니다. DER 형식의 X.509 인증서나 RSA 공개 키 같은 악의적 데이터를 통해 메모리 손상이나 서비스 거부 공격이 가능합니다.
💡 쉬운 설명
OpenSSL이 특정 데이터를 읽을 때 크기를 잘못 계산하여 메모리를 초과로 접근합니다. 악의적인 인증서 파일을 서버에 제공하면 서버가 충돌하거나 공격자가 제어할 수 있습니다.
🇺🇸 원문 (English)
The asn1_d2i_read_bio function in crypto/asn1/a_d2i_fp.c in OpenSSL before 0.9.8v, 1.0.0 before 1.0.0i, and 1.0.1 before 1.0.1a does not properly interpret integer data, which allows remote attackers to conduct buffer overflow attacks, and cause a denial of service (memory corruption) or possibly have unspecified other impact, via crafted DER data, as demonstrated by an X.509 certificate or an RSA public key.
📍 영향받는 시스템
OpenSSL 0.9.8(v 미만), 1.0.0(i 미만), 1.0.1(a 미만)
⚔️ 공격 벡터
특수 제작된 DER 형식 X.509 인증서 또는 RSA 공개 키를 원격 서버에 전송하여 버퍼 오버플로우 유발
🛡️ 대응 방법
OpenSSL을 0.9.8v, 1.0.0i 또는 1.0.1a 이상으로 업그레이드
🔧 검증 코드
취약한 버전이 검출되면 즉시 패치 적용 필요, 패치된 버전이면 안전함
openssl version | grep -E '0\.[89]\.|1\.0\.0[^i]|1\.0\.1[^a]'