🇰🇷 한글 설명
OpenSSL 1.0.2의 rsa_item_verify 함수에서 ASN.1 서명 검증 구현 결함으로, 인증서 검증 기능 사용 시 조작된 RSA PSS 매개변수로 NULL 포인터 역참조를 유발할 수 있습니다. 이는 애플리케이션의 비정상 종료 및 서비스 거부를 초래합니다.
💡 쉬운 설명
OpenSSL의 인증서 검증 과정에서 특정 방식으로 조작된 데이터를 받으면 프로그램이 충돌할 수 있습니다. 이로 인해 해당 서비스가 일시적으로 다운될 수 있습니다.
🇺🇸 원문 (English)
The ASN.1 signature-verification implementation in the rsa_item_verify function in crypto/rsa/rsa_ameth.c in OpenSSL 1.0.2 before 1.0.2a allows remote attackers to cause a denial of service (NULL pointer dereference and application crash) via crafted RSA PSS parameters to an endpoint that uses the certificate-verification feature.
📍 영향받는 시스템
OpenSSL 1.0.2 ~ 1.0.2a 미만 버전을 사용하는 모든 시스템
⚔️ 공격 벡터
원격 공격자가 조작된 RSA PSS 매개변수를 포함한 인증서를 인증서 검증 기능에 제출
🛡️ 대응 방법
OpenSSL을 1.0.2a 이상 버전으로 즉시 업그레이드 필요
🔧 검증 코드
1.0.2a 이상 버전이면 'Safe' 출력, 1.0.2 미만이면 'Vulnerable' 출력 - 후자의 경우 즉시 업그레이드 필요
openssl version | grep -oE '1\.0\.2[a-z]' && echo 'Safe' || echo 'Vulnerable'