🇰🇷 한글 설명
OpenSSL 1.0.1r 이전 및 1.0.2f 이전 버전의 ssl/s2_srvr.c에서 비활성화된 암호 사용을 방지하지 않으며, 이를 통해 중간자 공격자가 SSLv2 트래픽에 대한 계산을 수행하여 암호화 보호 메커니즘을 우회할 수 있습니다. get_client_master_key 및 get_client_hello 함수와 관련된 취약점입니다.
💡 쉬운 설명
OpenSSL에서 SSLv2 프로토콜을 사용할 때 보안이 약한 암호 방식이 사용되도록 허용됩니다. 공격자가 통신을 가로채서 암호를 깨기 쉬워집니다.
🇺🇸 원문 (English)
ssl/s2_srvr.c in OpenSSL 1.0.1 before 1.0.1r and 1.0.2 before 1.0.2f does not prevent use of disabled ciphers, which makes it easier for man-in-the-middle attackers to defeat cryptographic protection mechanisms by performing computations on SSLv2 traffic, related to the get_client_master_key and get_client_hello functions.
📍 영향받는 시스템
OpenSSL 1.0.1 (1.0.1r 이전), OpenSSL 1.0.2 (1.0.2f 이전)
⚔️ 공격 벡터
중간자 공격(MITM)을 통해 SSLv2 트래픽 차단 후 약한 암호로 강제하여 암호화 우회
🛡️ 대응 방법
OpenSSL을 1.0.1r 이상 또는 1.0.2f 이상으로 업그레이드하고 SSLv2 프로토콜 비활성화
🔧 검증 코드
OpenSSL 1.0.1 또는 1.0.2가 표시되면 취약 버전이며, 1.0.1r/1.0.2f 이상으로 업그레이드 필요
openssl version 2>/dev/null | grep -oE '1\.0\.[0-2]' && echo 'Vulnerable version detected'