🇰🇷 한글 설명
ARM mbed TLS의 x509 인증서 파싱 코드에서 스택 포인터의 잘못된 해제(free) 취약점이 존재합니다. 공격자가 악성 x509 인증서를 전달하면 원격 코드 실행이 가능할 수 있습니다.
💡 쉬운 설명
mbed TLS 라이브러리가 악의적으로 조작된 인증서를 처리할 때 메모리 오류가 발생합니다. 이 오류를 이용해 해커가 시스템의 코드를 마음대로 실행할 수 있습니다.
🇺🇸 원문 (English)
An exploitable free of a stack pointer vulnerability exists in the x509 certificate parsing code of ARM mbed TLS before 1.3.19, 2.x before 2.1.7, and 2.4.x before 2.4.2. A specially crafted x509 certificate, when parsed by mbed TLS library, can cause an invalid free of a stack pointer leading to a potential remote code execution. In order to exploit this vulnerability, an attacker can act as either a client or a server on a network to deliver malicious x509 certificates to vulnerable applications.
📍 영향받는 시스템
ARM mbed TLS 1.3.19 미만, 2.x 2.1.7 미만, 2.4.x 2.4.2 미만
⚔️ 공격 벡터
네트워크를 통해 클라이언트 또는 서버 역할로 악성 x509 인증서 전달
🛡️ 대응 방법
mbed TLS 라이브러리를 1.3.19, 2.1.7, 2.4.2 이상의 안정 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위(1.3.19 미만, 2.1.7 미만, 2.4.2 미만)에 해당하면 취약합니다.
grep -r 'MBEDTLS_VERSION_STRING' /usr/include/mbedtls/ 2>/dev/null | head -n 1
📊 CVSS Vector String
CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server