🇰🇷 한글 설명
OpenSSL 1.1.0의 상태 머신 구현에서 과도한 길이를 확인하기 전에 메모리를 할당하는 취약점입니다. 원격 공격자가 조작된 TLS 메시지를 전송하여 과도한 메모리 소비를 유발함으로써 서비스 거부(DoS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
OpenSSL에서 TLS 통신 중 받은 메시지의 크기를 제대로 확인하지 않고 메모리를 미리 할당하는 문제입니다. 공격자가 악의적인 메시지를 보내 서버의 메모리를 낭비하게 만들 수 있습니다.
🇺🇸 원문 (English)
The state-machine implementation in OpenSSL 1.1.0 before 1.1.0a allocates memory before checking for an excessive length, which might allow remote attackers to cause a denial of service (memory consumption) via crafted TLS messages, related to statem/statem.c and statem/statem_lib.c.
📍 영향받는 시스템
OpenSSL 1.1.0 ~ 1.1.0 버전 (1.1.0a에서 패치됨)
⚔️ 공격 벡터
원격 공격자가 조작된 TLS 핸드셰이크 메시지를 전송하여 메모리 소비 발생
🛡️ 대응 방법
OpenSSL을 1.1.0a 이상으로 업그레이드
🔧 검증 코드
출력에 'OpenSSL 1.1.0'이 표시되면 취약함, 'Patched'가 표시되면 1.1.0a 이상으로 패치됨
openssl version 2>/dev/null | grep -oP 'OpenSSL 1\.1\.0(?!a)' && echo 'Vulnerable' || echo 'Patched'