🇰🇷 한글 설명
GnuTLS 3.6.x 버전(3.6.14 미만)에서 세션 티켓 암호화 시 잘못된 암호화 방식이 사용되는 취약점이 발견되었습니다. 이로 인해 TLS 1.2에서는 기밀성이 상실될 수 있으며, TLS 1.3에서는 인증 우회가 발생할 수 있습니다.
💡 쉬운 설명
인터넷 연결을 안전하게 보호하는 암호화 기술에 오류가 있어, 해커가 통신 내용을 훔쳐보거나 가짜 신분으로 접속할 위험이 있습니다. 암호화 키를 만드는 과정에서 잘못된 데이터가 사용되는 것이 원인입니다.
🇺🇸 원문 (English)
GnuTLS 3.6.x before 3.6.14 uses incorrect cryptography for encrypting a session ticket (a loss of confidentiality in TLS 1.2, and an authentication bypass in TLS 1.3). The earliest affected version is 3.6.4 (2018-09-24) because of an error in a 2018-09-18 commit. Until the first key rotation, the TLS server always uses wrong data in place of an encryption key derived from an application.
📍 영향받는 시스템
GnuTLS 3.6.4 이상 3.6.14 미만 버전
⚔️ 공격 벡터
취약한 암호화 알고리즘을 이용한 세션 티켓 탈취 및 인증 우회 공격
🛡️ 대응 방법
GnuTLS를 3.6.14 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 3.6.4에서 3.6.13 사이의 버전이 나타나면 취약한 상태입니다.
gnutls-cli --version 2>/dev/null | grep -E 'gnutls \[3\\.[0-6]\\.(4|[0-9]|1[0-3])\\]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server