🇰🇷 한글 설명
OpenSSL 1.0.1d 이전 버전의 AES-NI 기능에서 TLS 1.1/1.2 구현의 CBC 모드 처리 중 원격 공격자가 조작된 CBC 데이터를 전송하여 애플리케이션 충돌을 유발할 수 있는 서비스 거부 취약점입니다.
💡 쉬운 설명
OpenSSL의 암호화 통신 기능(TLS)에서 특정한 형태의 악의적인 데이터를 받으면 프로그램이 멈추거나 중단될 수 있습니다. 인터넷을 통해 누구나 이 공격을 실행할 수 있습니다.
🇺🇸 원문 (English)
crypto/evp/e_aes_cbc_hmac_sha1.c in the AES-NI functionality in the TLS 1.1 and 1.2 implementations in OpenSSL 1.0.1 before 1.0.1d allows remote attackers to cause a denial of service (application crash) via crafted CBC data.
📍 영향받는 시스템
OpenSSL 1.0.1 버전 1.0.1d 이전 (1.0.1a, 1.0.1b, 1.0.1c 등)
⚔️ 공격 벡터
TLS 1.1/1.2 핸드셰이크 시 조작된 CBC 암호화 데이터를 전송하여 원격 거부 공격
🛡️ 대응 방법
OpenSSL을 1.0.1d 이상으로 업그레이드
🔧 검증 코드
취약한 버전(1.0.1a/b/c)이 나오면 취약, 아무것도 출력되지 않거나 1.0.1d 이상이면 안전
openssl version | grep -E '1\.0\.1[a-c]'