🇰🇷 한글 설명
OpenSSL의 SSLv2 구현에서 원격 공격자가 조작된 CLIENT-MASTER-KEY 메시지를 통해 assertion 실패를 유발하여 데몬을 강제 종료시키는 서비스 거부(DoS) 취약점입니다. 영향받는 버전은 0.9.8zf 이전, 1.0.0r 이전, 1.0.1m 이전, 1.0.2a 이전입니다.
💡 쉬운 설명
OpenSSL 서버에 특수한 암호화 메시지를 보내면 서버가 갑자기 중단되는 문제입니다. 공격자가 원격에서 서버의 서비스를 중단시킬 수 있습니다.
🇺🇸 원문 (English)
The SSLv2 implementation in OpenSSL before 0.9.8zf, 1.0.0 before 1.0.0r, 1.0.1 before 1.0.1m, and 1.0.2 before 1.0.2a allows remote attackers to cause a denial of service (s2_lib.c assertion failure and daemon exit) via a crafted CLIENT-MASTER-KEY message.
📍 영향받는 시스템
OpenSSL 0.9.8 (zf 이전), 1.0.0 (r 이전), 1.0.1 (m 이전), 1.0.2 (a 이전)
⚔️ 공격 벡터
네트워크를 통해 악의적으로 조작된 SSLv2 CLIENT-MASTER-KEY 핸드셰이크 메시지 전송
🛡️ 대응 방법
OpenSSL을 패치된 버전(0.9.8zf, 1.0.0r, 1.0.1m, 1.0.2a 이상)으로 업그레이드하거나 SSLv2 프로토콜 비활성화
🔧 검증 코드
현재 OpenSSL 버전이 취약한 범위에 속하면 VULNERABLE 출력, 패치된 버전이면 PATCHED 출력
openssl version | grep -E '(0\.9\.8[a-y]|1\.0\.0[a-q]|1\.0\.1[a-l]|1\.0\.2[^a-z])' && echo 'VULNERABLE' || echo 'PATCHED'