🇰🇷 한글 설명
OpenSSL 3.0 버전의 OPENSSL_LH_flush() 함수에서 해시 테이블 항목이 제거된 후 메모리가 제대로 재사용되지 않는 버그가 발견되었습니다. 인증서나 키를 디코딩할 때 이 함수가 사용되므로, 장기간 실행되는 프로세스는 메모리 사용량이 무한히 증가하여 서비스 거부(DoS) 상태에 빠질 수 있습니다.
💡 쉬운 설명
프로그램이 인증서를 읽을 때마다 사용한 메모리를 제대로 돌려주지 않아 메모리가 계속 쌓이는 문제입니다. 이로 인해 컴퓨터의 메모리가 가득 차서 프로그램이 갑자기 꺼질 수 있습니다.
🇺🇸 원문 (English)
The OPENSSL_LH_flush() function, which empties a hash table, contains a bug that breaks reuse of the memory occuppied by the removed hash table entries. This function is used when decoding certificates or keys. If a long lived process periodically decodes certificates or keys its memory usage will expand without bounds and the process might be terminated by the operating system causing a denial of service. Also traversing the empty hash table entries will take increasingly more time. Typically such long lived processes might be TLS clients or TLS servers configured to accept client certificate authentication. The function was added in the OpenSSL 3.0 version thus older releases are not affected by the issue. Fixed in OpenSSL 3.0.3 (Affected 3.0.0,3.0.1,3.0.2).
📍 영향받는 시스템
OpenSSL 3.0.0, 3.0.1, 3.0.2 버전
⚔️ 공격 벡터
장기간 실행되는 TLS 클라이언트 또는 서버가 인증서/키를 반복적으로 디코딩하도록 유도하여 메모리 고갈 유발
🛡️ 대응 방법
OpenSSL 버전을 3.0.3 이상으로 업데이트
🔧 검증 코드
출력된 버전이 3.0.0, 3.0.1, 3.0.2 중 하나라면 취약한 상태이며, 3.0.3 이상이어야 안전합니다.