🇰🇷 한글 설명
OpenSSL 1.0.1t 이전 버전과 1.0.2h 이전 1.0.2 버전의 EVP_EncryptUpdate 함수에서 정수 오버플로우 취약점이 발생합니다. 원격 공격자가 대량의 데이터를 전송하여 힙 메모리 손상을 유발하고 서비스 거부 공격을 수행할 수 있습니다.
💡 쉬운 설명
OpenSSL의 암호화 함수에 버그가 있어서 많은 양의 데이터를 보내면 프로그램이 충돌할 수 있습니다. 인터넷으로 특수하게 만든 데이터를 보내기만 해도 서버가 먹통이 될 수 있다는 의미입니다.
🇺🇸 원문 (English)
Integer overflow in the EVP_EncryptUpdate function in crypto/evp/evp_enc.c in OpenSSL before 1.0.1t and 1.0.2 before 1.0.2h allows remote attackers to cause a denial of service (heap memory corruption) via a large amount of data.
📍 영향받는 시스템
OpenSSL 1.0.1 (1.0.1t 미만), OpenSSL 1.0.2 (1.0.2h 미만)
⚔️ 공격 벡터
원격 공격자가 대량의 암호화 데이터를 EVP_EncryptUpdate 함수로 전송하여 정수 오버플로우 트리거
🛡️ 대응 방법
OpenSSL 1.0.1t 이상 또는 1.0.2h 이상으로 업그레이드
🔧 검증 코드
출력 버전이 1.0.1t 이상 또는 1.0.2h 이상이면 패치됨. 그 이하면 취약.