🇰🇷 한글 설명
Apple iOS, Apple TV, OS X의 Secure Transport 구성 요소 내 SSLVerifySignedServerKeyExchange 함수에서 TLS Server Key Exchange 메시지의 서명을 검증하지 않는 취약점이 발견되었습니다. 이로 인해 중간자 공격자가 임의의 개인 키를 사용하거나 서명 단계를 생략함으로써 SSL 서버를 사칭할 수 있습니다.
💡 쉬운 설명
인터넷 연결 시 상대방이 진짜인지 확인하는 '서명' 과정을 제대로 검사하지 않는 보안 결함입니다. 이를 통해 해커가 가짜 웹사이트나 서버인 척하며 사용자의 데이터를 가로챌 수 있습니다.
🇺🇸 원문 (English)
The SSLVerifySignedServerKeyExchange function in libsecurity_ssl/lib/sslKeyExchange.c in the Secure Transport feature in the Data Security component in Apple iOS 6.x before 6.1.6 and 7.x before 7.0.6, Apple TV 6.x before 6.0.2, and Apple OS X 10.9.x before 10.9.2 does not check the signature in a TLS Server Key Exchange message, which allows man-in-the-middle attackers to spoof SSL servers by (1) using an arbitrary private key for the signing step or (2) omitting the signing step.
📍 영향받는 시스템
Apple iOS 6.x (< 6.1.6), 7.x (< 7.0.6), Apple TV 6.x (< 6.0.2), Apple OS X 10.9.x (< 10.9.2)
⚔️ 공격 벡터
중간자 공격(Man-in-the-Middle)을 통한 SSL 서버 사칭
🛡️ 대응 방법
해당 OS 버전을 최신 보안 업데이트 버전(iOS 6.1.6+, 7.0.6+, Apple TV 6.0.2+, OS X 10.9.2+)으로 업데이트하십시오.
🔧 검증 코드
출력된 OS 버전이 취약점이 해결된 버전(예: OS X 10.9.2 이상)인지 확인하십시오.
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
Microsoft Exchange Server