🇰🇷 한글 설명
LibreSSL 2.5.1부터 2.5.3 버전에서 SSL_get_verify_result 함수 호출 시 TLS 인증서 검증이 제대로 수행되지 않는 결함이 존재합니다. 사용자가 제공한 검증 콜백이 1(성공)을 반환하는 경우, 실제로는 검증에 실패한 인증서도 유효한 것으로 처리되어 중간자 공격에 노출됩니다. 이로 인해 nginx 등의 웹 서버에서 위조된 인증서를 가진 서버로의 접근이 허용되는 문제가 발생합니다.
💡 쉬운 설명
웹 서버가 다른 서버의 신원을 확인할 때 가짜 인증서도 진짜로 인정하는 버그가 있었습니다. 이를 통해 공격자가 통신을 도청하고 중간에서 데이터를 조작할 수 있게 됩니다.
🇺🇸 원문 (English)
LibreSSL 2.5.1 to 2.5.3 lacks TLS certificate verification if SSL_get_verify_result is relied upon for a later check of a verification result, in a use case where a user-provided verification callback returns 1, as demonstrated by acceptance of invalid certificates by nginx.
📍 영향받는 시스템
LibreSSL 2.5.1, 2.5.2, 2.5.3 및 이를 사용하는 nginx, Apache 등의 웹 서버
⚔️ 공격 벡터
중간자(MITM) 공격으로 위조된 SSL/TLS 인증서를 제시하여 서버의 인증서 검증 로직 우회
🛡️ 대응 방법
LibreSSL을 2.5.4 이상 버전으로 업그레이드하거나 SSL_CTX_set_verify 콜백 함수의 검증 로직을 명시적으로 수정
🔧 검증 코드
명령어가 'VULNERABLE'을 출력하면 취약한 버전이므로 즉시 업그레이드 필요하며, 'PATCHED'를 출력하면 안전한 상태
libressl-config --version 2>/dev/null | grep -E '^(2\.5\.[123])' && echo 'VULNERABLE' || echo 'PATCHED'