🇰🇷 한글 설명
OpenSSL의 X509_verify_cert 함수가 X.509 Basic Constraints의 cA 값을 인증서 체인 검증 중에 제대로 처리하지 않아, 유효한 리프 인증서를 이용해 인증 기관(CA) 역할을 위조할 수 있는 취약점입니다. 원격 공격자가 이를 악용하여 의도하지 않은 인증서 검증을 유발할 수 있습니다.
💡 쉬운 설명
웹사이트의 인증서를 확인하는 과정에서 가짜 인증 기관인증서를 진짜라고 속일 수 있습니다. 이를 통해 중간에서 통신을 가로채는 공격(중간자 공격)을 수행할 수 있습니다.
🇺🇸 원문 (English)
The X509_verify_cert function in crypto/x509/x509_vfy.c in OpenSSL 1.0.1n, 1.0.1o, 1.0.2b, and 1.0.2c does not properly process X.509 Basic Constraints cA values during identification of alternative certificate chains, which allows remote attackers to spoof a Certification Authority role and trigger unintended certificate verifications via a valid leaf certificate.
📍 영향받는 시스템
OpenSSL 1.0.1n, 1.0.1o, 1.0.2b, 1.0.2c
⚔️ 공격 벡터
유효한 리프 인증서를 이용하여 위조된 CA 인증서 체인을 제시, 인증서 검증 우회
🛡️ 대응 방법
OpenSSL을 1.0.1p, 1.0.2d 이상으로 업그레이드
🔧 검증 코드
명령어가 1.0.1n, 1.0.1o, 1.0.1c, 1.0.2b, 1.0.2c 중 하나를 출력하면 취약한 버전이며, 아무 출력도 없으면 안전한 버전입니다.
openssl version 2>/dev/null | grep -oE '1\.0\.(1[noc]|2[bc])'