🇰🇷 한글 설명
OpenSSL의 ASN.1 BIO 구현에서 asn1_d2i_read_bio 함수가 잘못된 형식의 인코딩을 처리할 때 메모리를 과도하게 소비하여 서비스 거부 공격을 일으킬 수 있는 취약점입니다. 원격 공격자는 특수하게 조작된 짧은 무효 인코딩을 서버로 전송하여 메모리 누수를 유발할 수 있습니다.
💡 쉬운 설명
OpenSSL에서 잘못된 형식의 데이터를 받았을 때 메모리를 계속 사용하는 문제가 있습니다. 공격자가 이를 악용하여 서버를 느리게 만들거나 멈추게 할 수 있습니다.
🇺🇸 원문 (English)
The asn1_d2i_read_bio function in crypto/asn1/a_d2i_fp.c in the ASN.1 BIO implementation in OpenSSL before 1.0.1t and 1.0.2 before 1.0.2h allows remote attackers to cause a denial of service (memory consumption) via a short invalid encoding.
📍 영향받는 시스템
OpenSSL 1.0.1t 이전, OpenSSL 1.0.2h 이전 버전
⚔️ 공격 벡터
원격에서 특수 제작된 ASN.1 인코딩 데이터를 HTTPS/TLS 연결을 통해 전송
🛡️ 대응 방법
OpenSSL을 1.0.1t 이상 또는 1.0.2h 이상으로 업그레이드
🔧 검증 코드
openssl version으로 현재 버전 확인. 1.0.1t 또는 1.0.2h 이상이면 패치됨. 패키지 매니저로도 설치된 버전 확인 가능
openssl version && apt-cache policy openssl 2>/dev/null | grep -i installed || brew list openssl 2>/dev/null | head -1