🇰🇷 한글 설명
OpenSSL의 BN_GF2m_mod_inv 함수에서 이진 다항식 필드의 잘못된 타원곡선 매개변수를 처리할 때 무한 루프를 발생시키는 취약점입니다. 클라이언트 인증을 지원하는 서버를 대상으로 원격 공격자가 서비스 거부 공격을 수행할 수 있습니다.
💡 쉬운 설명
OpenSSL의 암호 계산 기능에서 특정 입력값이 주어지면 프로그램이 멈추는 문제입니다. 서버에 접속할 수 있는 공격자가 이를 악용해 서버를 응답 불가 상태로 만들 수 있습니다.
🇺🇸 원문 (English)
The BN_GF2m_mod_inv function in crypto/bn/bn_gf2m.c in OpenSSL before 0.9.8s, 1.0.0 before 1.0.0e, 1.0.1 before 1.0.1n, and 1.0.2 before 1.0.2b does not properly handle ECParameters structures in which the curve is over a malformed binary polynomial field, which allows remote attackers to cause a denial of service (infinite loop) via a session that uses an Elliptic Curve algorithm, as demonstrated by an attack against a server that supports client authentication.
📍 영향받는 시스템
OpenSSL 0.9.8 < 0.9.8s, 1.0.0 < 1.0.0e, 1.0.1 < 1.0.1n, 1.0.2 < 1.0.2b
⚔️ 공격 벡터
타원곡선 알고리즘을 사용하는 클라이언트 인증 세션에 잘못된 곡선 매개변수를 포함한 요청 전송
🛡️ 대응 방법
OpenSSL을 0.9.8s, 1.0.0e, 1.0.1n, 1.0.2b 이상으로 업그레이드
🔧 검증 코드
명령어가 '취약함'을 출력하면 CVE-2015-1788에 영향을 받는 버전, '안전함'을 출력하면 패치된 버전입니다.
openssl version | grep -qE '0\.9\.8[a-r]|1\.0\.0[a-d]|1\.0\.1[a-m]|1\.0\.2a' && echo '취약함' || echo '안전함'