🇰🇷 한글 설명
OpenSSL의 X509_to_X509_REQ 함수에서 무효한 인증서 키를 처리할 때 NULL 포인터 역참조(dereference) 취약점이 발생합니다. 이를 통해 공격자는 애플리케이션을 강제 종료시킬 수 있습니다.
💡 쉬운 설명
OpenSSL이 잘못된 인증서를 처리할 때 프로그램이 충돌하는 문제입니다. 공격자는 특별한 인증서를 보내서 OpenSSL을 사용하는 서버나 애플리케이션을 다운시킬 수 있습니다.
🇺🇸 원문 (English)
The X509_to_X509_REQ function in crypto/x509/x509_req.c in OpenSSL before 0.9.8zf, 1.0.0 before 1.0.0r, 1.0.1 before 1.0.1m, and 1.0.2 before 1.0.2a might allow attackers to cause a denial of service (NULL pointer dereference and application crash) via an invalid certificate key.
📍 영향받는 시스템
OpenSSL 0.9.8 (zf 이전), 1.0.0 (r 이전), 1.0.1 (m 이전), 1.0.2 (a 이전)
⚔️ 공격 벡터
무효한 인증서 키가 포함된 X.509 인증서 서명 요청(CSR) 전송
🛡️ 대응 방법
OpenSSL을 최신 버전으로 업그레이드: 0.9.8zf 이상, 1.0.0r 이상, 1.0.1m 이상, 1.0.2a 이상
🔧 검증 코드
출력된 버전이 위 권장 버전 이상인지 확인하면 됩니다. 예: OpenSSL 1.0.2k는 1.0.2a 이상이므로 안전합니다.
openssl version 2>/dev/null | head -1