🇰🇷 한글 설명
OpenSSL 1.0.1 및 1.0.2의 BN_dec2bn, BN_hex2bn 함수에서 발생하는 정수 오버플로우 취약점으로, 긴 숫자 문자열 처리 시 힙 메모리 손상이나 NULL 포인터 참조를 유발합니다. 원격 공격자가 이를 악용하여 서비스 거부 또는 임의 코드 실행이 가능합니다.
💡 쉬운 설명
OpenSSL이 매우 긴 숫자를 처리할 때 메모리 오류가 발생하는 버그입니다. 이를 악용한 원격 공격자가 서버를 다운시키거나 데이터를 손상시킬 수 있습니다.
🇺🇸 원문 (English)
Multiple integer overflows in OpenSSL 1.0.1 before 1.0.1s and 1.0.2 before 1.0.2g allow remote attackers to cause a denial of service (heap memory corruption or NULL pointer dereference) or possibly have unspecified other impact via a long digit string that is mishandled by the (1) BN_dec2bn or (2) BN_hex2bn function, related to crypto/bn/bn.h and crypto/bn/bn_print.c.
📍 영향받는 시스템
OpenSSL 1.0.1 (1.0.1s 이전), OpenSSL 1.0.2 (1.0.2g 이전)
⚔️ 공격 벡터
원격 공격자가 BN_dec2bn 또는 BN_hex2bn 함수에 악의적으로 구성된 긴 십진수 또는 십육진수 문자열을 전송
🛡️ 대응 방법
OpenSSL을 1.0.1s 이상 또는 1.0.2g 이상으로 업그레이드
🔧 검증 코드
설치된 OpenSSL 버전이 1.0.1s 미만 또는 1.0.2g 미만이면 VULNERABLE 출력, 아니면 최신 버전으로 업데이트 필요
openssl version | grep -oE '1\.0\.[12][a-z]?' | awk '{if ($0 < "1.0.1s" || ($0 ~ /1\.0\.2/ && $0 < "1.0.2g")) print "VULNERABLE"}'