🇰🇷 한글 설명
Tor 네트워크 소프트웨어의 여러 버전에서 OpenSSL 라이브러리가 비밀번호를 요구하는 PEM 형식 공개키를 처리할 때 사용자 입력을 대기하며 애플리케이션이 행 상태에 빠지는 문제입니다. 공격자가 이를 악용하여 서비스 거부 공격을 수행할 수 있습니다.
💡 쉬운 설명
Tor 프로그램이 특수하게 만들어진 파일을 받으면 비밀번호를 물어보면서 멈추는 문제입니다. 공격자가 이를 반복해서 보내면 Tor 서비스가 작동하지 않게 됩니다.
🇺🇸 원문 (English)
In Tor before 0.2.5.16, 0.2.6 through 0.2.8 before 0.2.8.17, 0.2.9 before 0.2.9.14, 0.3.0 before 0.3.0.13, and 0.3.1 before 0.3.1.9, an attacker can cause a denial of service (application hang) via crafted PEM input that signifies a public key requiring a password, which triggers an attempt by the OpenSSL library to ask the user for the password, aka TROVE-2017-011.
📍 영향받는 시스템
Tor 0.2.5.16 이전, 0.2.6~0.2.8.16, 0.2.9.0~0.2.9.13, 0.3.0.0~0.3.0.12, 0.3.1.0~0.3.1.8
⚔️ 공격 벡터
공격자가 비밀번호 입력을 요구하도록 조작된 PEM 형식의 공개키를 Tor에 전달하여 OpenSSL의 대화형 입력 요청 트리거
🛡️ 대응 방법
Tor를 0.2.8.17, 0.2.9.14, 0.3.0.13, 0.3.1.9 이상으로 업데이트
🔧 검증 코드
출력된 Tor 버전이 영향받는 범위(0.2.8.17 미만, 0.2.9.14 미만, 0.3.0.13 미만, 0.3.1.9 미만)에 포함되면 즉시 업데이트 필요
tor --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' || dpkg -l tor 2>/dev/null | grep tor | awk '{print $3}'