🇰🇷 한글 설명
Apple OS X 10.9.2 이하의 OpenSSL 패치에서 신뢰 평가 에이전트(TEA) 기능이 TLS/SSL 핸드셰이크를 제대로 종료하지 않아, 원격 공격자가 조작된 인증서 체인으로 애플리케이션의 사용자 정의 검증을 우회할 수 있는 취약점입니다.
💡 쉬운 설명
Apple 컴퓨터의 보안 업데이트에 결함이 있어 가짜 인증서가 승인될 수 있습니다. 악의적인 사용자가 안전하지 않은 연결을 신뢰할 수 있도록 조작할 수 있습니다.
🇺🇸 원문 (English)
A certain Apple patch for OpenSSL in Apple OS X 10.9.2 and earlier uses a Trust Evaluation Agent (TEA) feature without terminating certain TLS/SSL handshakes as specified in the SSL_CTX_set_verify callback function's documentation, which allows remote attackers to bypass extra verification within a custom application via a crafted certificate chain that is acceptable to TEA but not acceptable to that application.
📍 영향받는 시스템
Apple OS X 10.9.2 이전 버전
⚔️ 공격 벡터
원격 공격자가 조작된 인증서 체인을 제공하여 SSL/TLS 검증 로직 우회
🛡️ 대응 방법
OS X를 10.9.3 이상으로 업그레이드 또는 Apple 보안 업데이트 적용
🔧 검증 코드
OS X 버전이 10.9.3 이상이면 패치됨, 10.9.2 이하면 취약