🇰🇷 한글 설명
OpenSSL 1.0.1의 Heartbeat Extension 구현 결함으로 인해 원격 공격자가 메모리에서 민감한 정보(개인키 등)를 읽을 수 있는 버퍼 오버리드 취약점입니다. Heartbleed로 알려진 이 취약점은 TLS 및 DTLS 프로토콜에 영향을 미칩니다.
💡 쉬운 설명
서버가 하트비트(상태 확인) 패킷에 잘못된 크기로 응답하여 메모리에 있는 개인키와 같은 비밀 정보가 공개됩니다. 악의적인 사용자는 특별한 패킷을 보내서 서버 메모리의 민감한 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
The (1) TLS and (2) DTLS implementations in OpenSSL 1.0.1 before 1.0.1g do not properly handle Heartbeat Extension packets, which allows remote attackers to obtain sensitive information from process memory via crafted packets that trigger a buffer over-read, as demonstrated by reading private keys, related to d1_both.c and t1_lib.c, aka the Heartbleed bug.
📍 영향받는 시스템
OpenSSL 1.0.1, 1.0.1a, 1.0.1b, 1.0.1c, 1.0.1d, 1.0.1e, 1.0.1f (1.0.1g 미만)
⚔️ 공격 벡터
네트워크를 통해 특별히 구성된 Heartbeat 요청 패킷을 서버에 전송하여 메모리 내용을 읽음
🛡️ 대응 방법
OpenSSL을 1.0.1g 이상으로 업그레이드하거나 OpenSSL 0.9.8, 1.0.0 시리즈 사용
🔧 검증 코드
VULNERABLE이 출력되면 취약한 버전, NOT VULNERABLE이 출력되면 안전한 버전입니다. 1.0.1g 이상이거나 다른 버전을 사용 중이면 안전합니다.
openssl version | grep -E '1\.0\.1[a-f]' && echo 'VULNERABLE' || echo 'NOT VULNERABLE'