🇰🇷 한글 설명
OpenSSL의 fmtstr 함수가 문자열 길이를 잘못 계산하여 버퍼 오버플로우 및 범위 벗어난 읽기를 발생시키는 취약점입니다. 긴 문자열이나 대량의 ASN.1 데이터를 통해 서비스 거부 또는 임의 코드 실행을 야기할 수 있습니다.
💡 쉬운 설명
OpenSSL에서 매우 긴 데이터를 처리할 때 메모리 범위를 초과하여 프로그램이 충돌하거나 보안이 손상될 수 있습니다. 원격 공격자가 특별히 만든 요청을 보내면 서버가 다운되거나 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
The fmtstr function in crypto/bio/b_print.c in OpenSSL 1.0.1 before 1.0.1s and 1.0.2 before 1.0.2g improperly calculates string lengths, which allows remote attackers to cause a denial of service (overflow and out-of-bounds read) or possibly have unspecified other impact via a long string, as demonstrated by a large amount of ASN.1 data, a different vulnerability than CVE-2016-2842.
📍 영향받는 시스템
OpenSSL 1.0.1 (1.0.1s 미만), OpenSSL 1.0.2 (1.0.2g 미만)
⚔️ 공격 벡터
원격 공격자가 긴 문자열 또는 대량의 ASN.1 데이터를 포함한 특수 제작 요청을 전송
🛡️ 대응 방법
OpenSSL을 1.0.1s 이상 또는 1.0.2g 이상으로 즉시 업그레이드
🔧 검증 코드
결과에서 1.0.1 또는 1.0.2가 표시되면 세부 버전을 확인하여 s 또는 g 이상 여부 확인 필요
openssl version | grep -oE '1\.0\.(1|2)'