🇰🇷 한글 설명
PKCS7과 같이 재귀적 정의를 포함하는 ASN.1 유형에 악의적인 입력을 주입할 경우 스택 메모리를 초과할 수 있습니다. 이로 인해 서비스 거부(DoS) 공격이 발생할 수 있습니다. 다만, SSL/TLS 내에서는 신뢰할 수 없는 소스로부터 오는 이러한 구조가 사용되지 않아 상대적으로 안전한 것으로 간주됩니다.
💡 쉬운 설명
특수하게 조작된 데이터가 시스템의 메모리 한계를 넘어서게 만들어 컴퓨터를 멈추게 할 수 있는 결함입니다. 공격자가 복잡한 구조의 데이터를 보내 시스템을 마비시키는 방식입니다.
🇺🇸 원문 (English)
Constructed ASN.1 types with a recursive definition (such as can be found in PKCS7) could eventually exceed the stack given malicious input with excessive recursion. This could result in a Denial Of Service attack. There are no such structures used within SSL/TLS that come from untrusted sources so this is considered safe. Fixed in OpenSSL 1.1.0h (Affected 1.1.0-1.1.0g). Fixed in OpenSSL 1.0.2o (Affected 1.0.2b-1.0.2n).
📍 영향받는 시스템
OpenSSL 1.1.0~1.1.0g, OpenSSL 1.0.2b~1.0.2n
⚔️ 공격 벡터
재귀적 구조를 가진 악의적인 ASN.1 데이터를 전송하여 스택 오버플로우 유도
🛡️ 대응 방법
OpenSSL 1.1.0h 또는 1.0.2o 이상의 버전으로 업데이트
🔧 검증 코드
출력된 버전이 취약한 범위(1.1.0h 미만 또는 1.0.2o 미만)에 해당하는지 확인