🇰🇷 한글 설명
OpenSSL 1.0.1 버전의 ssl23_get_client_hello 함수에서 ClientHello 메시지 분할을 통해 중간자 공격자가 TLS 1.0으로의 강제 다운그레이드를 유도할 수 있는 취약점입니다. 클라이언트와 서버가 모두 더 새로운 TLS 버전을 지원하더라도 TLS 1.0으로 강제될 수 있어 보안이 저하됩니다.
💡 쉬운 설명
보안 연결할 때 안전한 최신 암호화 버전을 사용해야 하는데, 공격자가 의도적으로 오래되고 취약한 암호화 버전으로 강제할 수 있다는 문제입니다. 이를 통해 중간자 공격자가 통신을 더 쉽게 해킹할 수 있게 됩니다.
🇺🇸 원문 (English)
The ssl23_get_client_hello function in s23_srvr.c in OpenSSL 1.0.1 before 1.0.1i allows man-in-the-middle attackers to force the use of TLS 1.0 by triggering ClientHello message fragmentation in communication between a client and server that both support later TLS versions, related to a "protocol downgrade" issue.
📍 영향받는 시스템
OpenSSL 1.0.1 이상 1.0.1i 미만
⚔️ 공격 벡터
네트워크를 통한 ClientHello 메시지 분할을 이용한 중간자 공격 (MITM)
🛡️ 대응 방법
OpenSSL을 1.0.1i 이상으로 즉시 업그레이드
🔧 검증 코드
1.0.1a~1.0.1h이 출력되면 취약함. 버전이 1.0.1i 이상이거나 출력이 없으면 패치됨
openssl version | grep -oE '1\.0\.1[a-h]'