🇰🇷 한글 설명
OpenSSL의 ASN1_TFLG_COMBINE 구현에서 X509_ATTRIBUTE 데이터 처리 오류로 인해 PKCS#7 또는 CMS 애플리케이션에서 메모리 정보가 노출될 수 있습니다. 공격자가 디코딩 오류를 유도하여 프로세스 메모리의 민감한 정보를 획득할 수 있습니다.
💡 쉬운 설명
OpenSSL 암호화 라이브러리에서 특정 형식의 데이터를 잘못 처리할 때 메모리 정보가 유출될 수 있습니다. 이메일 서명 검증 등을 다루는 애플리케이션에서 공격자가 이 오류를 악용할 수 있습니다.
🇺🇸 원문 (English)
The ASN1_TFLG_COMBINE implementation in crypto/asn1/tasn_dec.c in OpenSSL before 0.9.8zh, 1.0.0 before 1.0.0t, 1.0.1 before 1.0.1q, and 1.0.2 before 1.0.2e mishandles errors caused by malformed X509_ATTRIBUTE data, which allows remote attackers to obtain sensitive information from process memory by triggering a decoding failure in a PKCS#7 or CMS application.
📍 영향받는 시스템
OpenSSL 0.9.8zh 이전, 1.0.0 이전 1.0.0t 미만, 1.0.1 이전 1.0.1q 미만, 1.0.2 이전 1.0.2e 미만 버전
⚔️ 공격 벡터
원격으로 PKCS#7 또는 CMS 메시지에 비정상적인 X509_ATTRIBUTE 데이터를 포함시켜 디코딩 오류 유발
🛡️ 대응 방법
OpenSSL을 0.9.8zh, 1.0.0t, 1.0.1q, 1.0.2e 이상으로 업그레이드
🔧 검증 코드
OpenSSL 버전이 취약한 버전 범위에 있으면 grep이 버전 정보를 출력합니다. 아무것도 출력되지 않으면 패치된 버전입니다.
openssl version 2>/dev/null | grep -E '(0\.9\.8[a-z]|1\.0\.0[a-s]|1\.0\.1[a-p]|1\.0\.2[a-d])'