🇰🇷 한글 설명
d2i_PKCS7(), d2i_PKCS7_bio() 또는 d2i_PKCS7_fp() 함수를 사용하여 조작된 PKCS7 데이터를 로드할 때 잘못된 포인터 역참조가 발생할 수 있습니다. 이로 인해 애플리케이션이 충돌하며 서비스 거부(DoS) 공격으로 이어질 수 있습니다.
💡 쉬운 설명
잘못 만들어진 인증 데이터를 프로그램이 읽으려고 할 때 프로그램이 갑자기 꺼지는 문제입니다. 공격자가 이 데이터를 보내면 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
An invalid pointer dereference on read can be triggered when an
application tries to load malformed PKCS7 data with the
d2i_PKCS7(), d2i_PKCS7_bio() or d2i_PKCS7_fp() functions.
The result of the dereference is an application crash which could
lead to a denial of service attack. The TLS implementation in OpenSSL
does not call this function however third party applications might
call these functions on untrusted data.
📍 영향받는 시스템
OpenSSL 3.0.0 ~ 3.0.7 버전 (3.0.8 미만)
⚔️ 공격 벡터
공격자가 조작된 PKCS7 데이터를 대상 애플리케이션에 전송하여 함수 호출 유도
🛡️ 대응 방법
OpenSSL을 3.0.8 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 3.0.8 미만(예: 3.0.7)이면 취약한 상태입니다.