🇰🇷 한글 설명
OpenSSL의 ssl_get_algorithm2 함수가 잘못된 데이터 구조에서 TLS 버전 정보를 읽어 TLS 1.2 클라이언트의 조작된 요청으로 서버 프로세스가 비정상 종료될 수 있습니다. 원격 공격자가 특정 트래픽을 전송하면 서비스 거부 상황이 발생합니다.
💡 쉬운 설명
암호화 통신을 담당하는 OpenSSL이 버전 정보를 잘못 읽어서 특정 방식의 접속 요청에 다운되는 문제입니다. 누구나 인터넷을 통해 이 서버를 충돌시킬 수 있습니다.
🇺🇸 원문 (English)
The ssl_get_algorithm2 function in ssl/s3_lib.c in OpenSSL before 1.0.2 obtains a certain version number from an incorrect data structure, which allows remote attackers to cause a denial of service (daemon crash) via crafted traffic from a TLS 1.2 client.
📍 영향받는 시스템
OpenSSL 1.0.1 및 그 이전 버전 (1.0.2 미만)
⚔️ 공격 벡터
TLS 1.2 클라이언트가 조작된 핸드셰이크 메시지를 원격으로 전송하여 서버 데몬 충돌 유발
🛡️ 대응 방법
OpenSSL을 1.0.2 이상의 버전으로 업그레이드하거나 공식 보안 패치 적용
🔧 검증 코드
출력된 버전이 1.0.2 이상(예: 1.0.2, 1.1.0, 3.0.0)이면 안전하고, 1.0.1 이하이면 취약합니다.
openssl version 2>/dev/null | head -1