🇰🇷 한글 설명
Go 1.16.5 이하 버전의 crypto/tls 패키지에서 RSA 기반 키 교환 시 X.509 인증서의 공개 키 유형을 적절히 검증하지 않는 취약점이 발견되었습니다. 이로 인해 악의적인 TLS 서버가 클라이언트의 연결 프로세스를 강제로 중단(Panic)시킬 수 있습니다.
💡 쉬운 설명
인증서의 종류가 맞는지 확인하는 과정에서 실수가 있어, 가짜 서버가 연결을 시도하면 사용자의 프로그램이 갑자기 꺼질 수 있는 문제입니다. 이는 서비스 중단을 일으키는 공격에 이용될 수 있습니다.
🇺🇸 원문 (English)
The crypto/tls package of Go through 1.16.5 does not properly assert that the type of public key in an X.509 certificate matches the expected type when doing a RSA based key exchange, allowing a malicious TLS server to cause a TLS client to panic.
📍 영향받는 시스템
Go 언어 1.16.5 이하 버전의 crypto/tls 패키지를 사용하는 모든 시스템
⚔️ 공격 벡터
악의적인 TLS 서버가 잘못된 유형의 공개 키를 포함한 인증서를 클라이언트에 전송하여 서비스 거부(DoS) 유발
🛡️ 대응 방법
Go 버전을 1.16.6 이상 또는 최신 안정 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 Go 버전이 1.16.5 이하인지 확인하십시오.
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
Microsoft Exchange Server