🇰🇷 한글 설명
OCSP_basic_verify 함수에서 OCSP_NOCHECKS 플래그를 사용할 경우, 응답 서명 인증서의 검증에 실패하더라도 검증이 성공한 것으로 처리되는 취약점입니다. 이 문제는 OpenSSL의 'ocsp' 명령줄 애플리케이션에도 영향을 미치며, 잘못된 성공 보고를 생성할 수 있습니다.
💡 쉬운 설명
인증서가 유효한지 확인하는 과정에서 검증에 실패했음에도 불구하고 시스템이 '성공'이라고 잘못 판단할 수 있는 오류입니다. 이로 인해 보안 확인 절차를 우회할 위험이 있습니다.
🇺🇸 원문 (English)
The function `OCSP_basic_verify` verifies the signer certificate on an OCSP response. In the case where the (non-default) flag OCSP_NOCHECKS is used then the response will be positive (meaning a successful verification) even in the case where the response signing certificate fails to verify. It is anticipated that most users of `OCSP_basic_verify` will not use the OCSP_NOCHECKS flag. In this case the `OCSP_basic_verify` function will return a negative value (indicating a fatal error) in the case of a certificate verification failure. The normal expected return value in this case would be 0. This issue also impacts the command line OpenSSL "ocsp" application. When verifying an ocsp response with the "-no_cert_checks" option the command line application will report that the verification is successful even though it has in fact failed. In this case the incorrect successful response will also be accompanied by error messages showing the failure and contradicting the apparently successful result. Fixed in OpenSSL 3.0.3 (Affected 3.0.0,3.0.1,3.0.2).
📍 영향받는 시스템
OpenSSL 3.0.0, 3.0.1, 3.0.2 버전
⚔️ 공격 벡터
공격자가 조작된 OCSP 응답을 제공하고, 대상 시스템이 검증 플래그를 잘못 설정하여 사용할 경우 발생
🛡️ 대응 방법
OpenSSL을 3.0.3 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.0.3 미만(3.0.0, 3.0.1, 3.0.2)인지 확인하십시오.