🇰🇷 한글 설명
인증서 검증 시 기본값이 아닌 옵션을 사용하는 애플리케이션은 악성 CA를 통한 검증 우회 공격에 취약할 수 있습니다. OpenSSL 등에서 리프 인증서의 잘못된 인증서 정책을 무시하고 다른 정책 검사까지 건너뛰는 문제가 발생합니다.
💡 쉬운 설명
인증서가 규칙을 잘 지켰는지 확인하는 과정에서, 일부 프로그램이 잘못된 규칙을 발견해도 그냥 무시하고 넘어가는 결함이 있습니다. 이를 악용하면 가짜 인증서가 정상적인 것처럼 속여 보안 검사를 통과할 수 있습니다.
🇺🇸 원문 (English)
Applications that use a non-default option when verifying certificates may be
vulnerable to an attack from a malicious CA to circumvent certain checks.
Invalid certificate policies in leaf certificates are silently ignored by
OpenSSL and other certificate policy checks are skipped for that certificate.
A malicious CA could use this to deliberately assert invalid certificate policies
in order to circumvent policy checking on the certificate altogether.
Policy processing is disabled by default but can be enabled by passing
the `-policy' argument to the command line utilities or by calling the
`X509_VERIFY_PARAM_set1_policies()' function.
📍 영향받는 시스템
OpenSSL 및 인증서 정책 검증 기능을 사용하는 애플리케이션
⚔️ 공격 벡터
악성 CA가 의도적으로 잘못된 인증서 정책을 포함시켜 보안 검사 로직을 우회함
🛡️ 대응 방법
OpenSSL을 최신 버전으로 업데이트하고 인증서 정책 검증 설정을 올바르게 구성함
🔧 검증 코드
출력된 OpenSSL 버전을 확인하여 해당 취약점이 해결된 최신 패치 버전인지 확인합니다.