🇰🇷 한글 설명
OpenSSL의 ssl3_get_key_exchange 함수에서 ServerKeyExchange 메시지를 검증하지 않아, 원격 SSL 서버가 ECDHE-to-ECDH 다운그레이드 공격을 수행할 수 있습니다. 이로 인해 forward secrecy가 손실되고 암호화된 통신이 약화됩니다.
💡 쉬운 설명
SSL 통신 시 보안을 높이기 위한 메시지를 서버가 생략해도 클라이언트가 이를 확인하지 않습니다. 공격자가 이를 악용하면 암호화된 통신 보안이 약해집니다.
🇺🇸 원문 (English)
The ssl3_get_key_exchange function in s3_clnt.c in OpenSSL before 0.9.8zd, 1.0.0 before 1.0.0p, and 1.0.1 before 1.0.1k allows remote SSL servers to conduct ECDHE-to-ECDH downgrade attacks and trigger a loss of forward secrecy by omitting the ServerKeyExchange message.
📍 영향받는 시스템
OpenSSL 0.9.8zd 이전, 1.0.0p 이전, 1.0.1k 이전 버전
⚔️ 공격 벡터
원격 SSL 서버가 ServerKeyExchange 메시지를 생략하여 ECDHE를 더 약한 ECDH로 다운그레이드
🛡️ 대응 방법
OpenSSL을 0.9.8zd, 1.0.0p, 1.0.1k 이상으로 업그레이드
🔧 검증 코드
openssl 버전이 0.9.8zd, 1.0.0p, 1.0.1k 이상인지 확인하면 됩니다. 취약한 버전은 이 버전들보다 낮습니다.
openssl version && echo 'version check' && dpkg -l | grep openssl