🇰🇷 한글 설명
Red Hat에서 배포한 OpenSSL 1.0.1e-25.el7의 PRNG 락 구현에서 발생하는 race condition으로, 다중 스레드 서버에 대량의 TLS 세션 연결 시 음수 길이 필드 사용으로 인한 애플리케이션 충돌을 초래합니다. RHEL 7 및 기타 Red Hat 제품의 원격 서비스 거부(DoS) 취약점입니다.
💡 쉬운 설명
OpenSSL의 보안 통신 기능에서 여러 연결을 동시에 처리할 때 내부 계산 오류가 발생합니다. 공격자가 많은 연결을 빠르게 시도하면 서버가 충돌합니다.
🇺🇸 원문 (English)
Race condition in a certain Red Hat patch to the PRNG lock implementation in the ssleay_rand_bytes function in OpenSSL, as distributed in openssl-1.0.1e-25.el7 in Red Hat Enterprise Linux (RHEL) 7 and other products, allows remote attackers to cause a denial of service (application crash) by establishing many TLS sessions to a multithreaded server, leading to use of a negative value for a certain length field.
📍 영향받는 시스템
Red Hat Enterprise Linux 7 (openssl-1.0.1e-25.el7 이하 버전)
⚔️ 공격 벡터
원격 공격자가 멀티스레드 서버에 대량의 TLS 세션을 동시에 연결하여 DoS 유발
🛡️ 대응 방법
openssl 패키지를 보안 업데이트된 버전으로 즉시 업그레이드 (yum update openssl)
🔧 검증 코드
openssl 버전이 1.0.1e-26.el7 이상이거나 1.0.2 이상 버전이면 취약점이 해결된 상태입니다.
rpm -qa openssl | head -1 && openssl version