🇰🇷 한글 설명
OpenSSL의 CCS 주입 취약점으로, 공격자가 변조된 TLS 핸드셰이크를 통해 0길이 마스터 키 사용을 유발하여 세션을 탈취하고 민감한 정보를 획득할 수 있습니다. ChangeCipherSpec 메시지 처리의 부족한 제약으로 중간자 공격에 노출됩니다.
💡 쉬운 설명
OpenSSL 암호화 통신 설정 과정에서 공격자가 속임수를 써서 보안이 약한 연결을 만들 수 있는 결함입니다. 이를 통해 통신을 도청하거나 가로챌 수 있습니다.
🇺🇸 원문 (English)
OpenSSL before 0.9.8za, 1.0.0 before 1.0.0m, and 1.0.1 before 1.0.1h does not properly restrict processing of ChangeCipherSpec messages, which allows man-in-the-middle attackers to trigger use of a zero-length master key in certain OpenSSL-to-OpenSSL communications, and consequently hijack sessions or obtain sensitive information, via a crafted TLS handshake, aka the "CCS Injection" vulnerability.
📍 영향받는 시스템
OpenSSL 0.9.8za 미만, 1.0.0m 미만, 1.0.1h 미만
⚔️ 공격 벡터
중간자 공격으로 특제 TLS 핸드셰이크를 주입하여 0길이 마스터 키 사용 유도
🛡️ 대응 방법
OpenSSL을 0.9.8za, 1.0.0m 또는 1.0.1h 이상 버전으로 업그레이드
🔧 검증 코드
설치된 OpenSSL 버전이 취약한 범위에 일치하면 'VULNERABLE' 출력, 그렇지 않으면 'SAFE' 출력
openssl version | grep -oE '(0\.9\.[0-7]|1\.0\.0[a-l]|1\.0\.1[a-g])' && echo 'VULNERABLE' || echo 'SAFE'