🇰🇷 한글 설명
OpenSSL 1.0.2i의 x509 인증서 검증 코드(crypto/x509/x509_vfy.c)에서 CRL(인증서 해지 목록) 처리 중 NULL 포인터 참조로 인해 응용프로그램 충돌을 유발하는 원격 거부 서비스 취약점입니다. 공격자가 특정 CRL 작업을 트리거하면 영향받는 시스템이 다운될 수 있습니다.
💡 쉬운 설명
OpenSSL이 인증서 해지 목록을 확인할 때 프로그램이 충돌하는 문제입니다. 공격자가 특수한 인증서 요청을 보내면 서버가 멈춘다는 뜻입니다.
🇺🇸 원문 (English)
crypto/x509/x509_vfy.c in OpenSSL 1.0.2i allows remote attackers to cause a denial of service (NULL pointer dereference and application crash) by triggering a CRL operation.
📍 영향받는 시스템
OpenSSL 1.0.2i 이하 버전 (Linux, Windows, macOS 등 모든 OS의 OpenSSL 기반 애플리케이션)
⚔️ 공격 벡터
원격 공격자가 조작된 CRL 쿼리를 포함한 TLS/HTTPS 연결 요청으로 NULL 포인터 참조 유발
🛡️ 대응 방법
OpenSSL을 1.0.2j 이상으로 업그레이드하거나 x509_vfy.c의 CRL 검증 로직 패치 적용
🔧 검증 코드
1.0.2a~1.0.2i가 출력되면 취약한 상태, 그 외 버전이면 안전함
openssl version | grep -oE '1\.0\.2[a-i]'