🇰🇷 한글 설명
OpenSSL의 OCSP 응답 서명 검증 기능에서 부적절한 검증이 발생하여, 원격 OCSP 서버가 유효하지 않은 키를 포함한 응답을 보낼 수 있습니다. 이로 인해 NULL 포인터 역참조가 발생하여 애플리케이션이 중단될 수 있습니다.
💡 쉬운 설명
인증서 검증 과정에서 OpenSSL이 서버로부터 받은 응답을 제대로 확인하지 않아, 공격자가 가짜 응답을 보내 애플리케이션을 먹통으로 만들 수 있습니다. 주로 웹 서버의 인증서 검증 과정이 영향을 받습니다.
🇺🇸 원문 (English)
OpenSSL before 0.9.8y, 1.0.0 before 1.0.0k, and 1.0.1 before 1.0.1d does not properly perform signature verification for OCSP responses, which allows remote OCSP servers to cause a denial of service (NULL pointer dereference and application crash) via an invalid key.
📍 영향받는 시스템
OpenSSL 0.9.8y 이전, 1.0.0k 이전, 1.0.1d 이전 버전
⚔️ 공격 벡터
OCSP(Online Certificate Status Protocol) 응답에 부실한 서명을 포함하여 대상 서버로 전송, 원격에서 DoS 공격 수행
🛡️ 대응 방법
OpenSSL을 0.9.8y, 1.0.0k, 1.0.1d 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 0.9.8y 이상, 1.0.0k 이상, 또는 1.0.1d 이상이면 패치됨
openssl version 2>/dev/null | head -1