🇰🇷 한글 설명
OpenSSL TLS 서버가 악의적으로 조작된 재협상 ClientHello 메시지를 받을 경우 충돌이 발생할 수 있습니다. TLSv1.2 재협상 과정에서 특정 확장 기능이 누락되면 NULL 포인터 역참조가 발생하여 서비스 거부(DoS) 공격이 가능해집니다.
💡 쉬운 설명
해커가 특수한 메시지를 보내 서버를 강제로 멈추게 만들 수 있는 보안 약점입니다. 이로 인해 웹사이트나 서비스가 갑자기 중단될 수 있습니다.
🇺🇸 원문 (English)
An OpenSSL TLS server may crash if sent a maliciously crafted renegotiation ClientHello message from a client. If a TLSv1.2 renegotiation ClientHello omits the signature_algorithms extension (where it was present in the initial ClientHello), but includes a signature_algorithms_cert extension then a NULL pointer dereference will result, leading to a crash and a denial of service attack. A server is only vulnerable if it has TLSv1.2 and renegotiation enabled (which is the default configuration). OpenSSL TLS clients are not impacted by this issue. All OpenSSL 1.1.1 versions are affected by this issue. Users of these versions should upgrade to OpenSSL 1.1.1k. OpenSSL 1.0.2 is not impacted by this issue. Fixed in OpenSSL 1.1.1k (Affected 1.1.1-1.1.1j).
📍 영향받는 시스템
OpenSSL 1.1.1 버전부터 1.1.1j 버전까지 (TLSv1.2 및 재협상 활성화 시)
⚔️ 공격 벡터
악의적으로 조작된 TLSv1.2 재협상 ClientHello 메시지를 전송하여 서버의 NULL 포인터 역참조 유도
🛡️ 대응 방법
OpenSSL 버전을 1.1.1k 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 1.1.1k 미만(예: 1.1.1j 이하)인지 확인