🇰🇷 한글 설명
OpenSSL의 PKCS#7 구현에서 잘못된 형식의 outer ContentInfo를 처리할 때 NULL 포인터 역참조가 발생하여 애플리케이션이 강제로 종료됩니다. 공격자는 PKCS#7 데이터를 처리하는 애플리케이션에 ASN.1 인코딩된 악의적인 데이터를 전송하여 서비스 거부를 유발할 수 있습니다.
💡 쉬운 설명
OpenSSL이 특정 형식의 암호화 데이터를 받을 때 검증 과정에서 실패하여 프로그램이 멈춥니다. 공격자가 잘못된 형식의 데이터를 보내면 해당 애플리케이션을 다운시킬 수 있습니다.
🇺🇸 원문 (English)
The PKCS#7 implementation in OpenSSL before 0.9.8zf, 1.0.0 before 1.0.0r, 1.0.1 before 1.0.1m, and 1.0.2 before 1.0.2a does not properly handle a lack of outer ContentInfo, which allows attackers to cause a denial of service (NULL pointer dereference and application crash) by leveraging an application that processes arbitrary PKCS#7 data and providing malformed data with ASN.1 encoding, related to crypto/pkcs7/pk7_doit.c and crypto/pkcs7/pk7_lib.c.
📍 영향받는 시스템
OpenSSL 0.9.8 (0.9.8zf 이전), 1.0.0 (1.0.0r 이전), 1.0.1 (1.0.1m 이전), 1.0.2 (1.0.2a 이전)
⚔️ 공격 벡터
네트워크를 통해 PKCS#7 데이터를 처리하는 애플리케이션에 형식이 잘못된 ASN.1 인코딩 데이터 전송
🛡️ 대응 방법
OpenSSL을 0.9.8zf, 1.0.0r, 1.0.1m, 1.0.2a 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 취약 범위(0.9.8a-ze, 1.0.0a-q, 1.0.1a-l, 1.0.2)에 해당하면 업그레이드 필요
openssl version | grep -oE '(0\.9\.8[a-z]|1\.0\.[0-2])'