🇰🇷 한글 설명
OpenSSL의 doapr_outch 함수가 메모리 할당 성공 여부를 검증하지 않아, 긴 문자열이나 대량의 ASN.1 데이터를 통해 경계 외 메모리 쓰기 또는 과도한 메모리 소비를 야기할 수 있다. 원격 공격자가 이를 악용하여 서비스 거부(DoS) 또는 다른 미지의 영향을 미칠 수 있다.
💡 쉬운 설명
OpenSSL이 메모리 할당에 실패해도 이를 확인하지 않아, 공격자가 거대한 데이터를 보내 시스템을 먹통으로 만들 수 있다. 인터넷에 노출된 거의 모든 서버가 영향받을 수 있다.
🇺🇸 원문 (English)
The doapr_outch function in crypto/bio/b_print.c in OpenSSL 1.0.1 before 1.0.1s and 1.0.2 before 1.0.2g does not verify that a certain memory allocation succeeds, which allows remote attackers to cause a denial of service (out-of-bounds write or memory consumption) or possibly have unspecified other impact via a long string, as demonstrated by a large amount of ASN.1 data, a different vulnerability than CVE-2016-0799.
📍 영향받는 시스템
OpenSSL 1.0.1 (1.0.1s 미만), OpenSSL 1.0.2 (1.0.2g 미만)
⚔️ 공격 벡터
특별한 인증 없이 네트워크 연결을 통해 긴 문자열이나 대량의 ASN.1 형식 데이터 전송
🛡️ 대응 방법
OpenSSL을 버전 1.0.1s 이상 또는 1.0.2g 이상으로 즉시 업그레이드
🔧 검증 코드
VULNERABLE이 출력되면 해당 시스템이 취약점에 노출된 상태이며, PATCHED가 출력되면 안전한 버전이다.
openssl version 2>/dev/null | grep -qE '1\.0\.(1[a-r]|2[a-f])' && echo VULNERABLE || echo PATCHED