🇰🇷 한글 설명
OpenSSL 0.9.8zc 이전, 1.0.0o 이전, 1.0.1j 이전 버전에서 no-ssl3 빌드 옵션이 제대로 적용되지 않아 원격 공격자가 SSL 3.0 핸드셰이크를 통해 보안 제약을 우회할 수 있는 취약점입니다. s23_clnt.c와 s23_srvr.c 파일의 부적절한 처리로 인해 발생합니다.
💡 쉬운 설명
OpenSSL에서 비활성화되어야 할 구버전 SSL 3.0 프로토콜이 여전히 사용 가능하도록 설정된 취약점입니다. 공격자가 이를 악용해 보안을 우회할 수 있습니다.
🇺🇸 원문 (English)
OpenSSL before 0.9.8zc, 1.0.0 before 1.0.0o, and 1.0.1 before 1.0.1j does not properly enforce the no-ssl3 build option, which allows remote attackers to bypass intended access restrictions via an SSL 3.0 handshake, related to s23_clnt.c and s23_srvr.c.
📍 영향받는 시스템
OpenSSL 0.9.8 < 0.9.8zc, 1.0.0 < 1.0.0o, 1.0.1 < 1.0.1j
⚔️ 공격 벡터
SSL 3.0 핸드셰이크를 이용한 프로토콜 다운그레이드 공격 (중간자 공격)
🛡️ 대응 방법
OpenSSL을 0.9.8zc, 1.0.0o, 1.0.1j 이상으로 업데이트하거나 SSL 3.0을 비활성화
🔧 검증 코드
출력된 버전이 영향받는 범위 내인지 확인: 0.9.8zc 미만, 1.0.0o 미만, 또는 1.0.1j 미만이면 취약
openssl version -a | grep -oE '[0-9]+\.[0-9]+\.[0-9]+[a-z]*' | head -1