🇰🇷 한글 설명
X509_VERIFY_PARAM_add0_policy() 함수는 인증서 검증 시 인증서 정책 확인을 암시적으로 활성화하도록 문서화되어 있으나, 실제 구현에서는 이 기능이 활성화되지 않습니다. 이로 인해 잘못되거나 유효하지 않은 정책을 가진 인증서가 검증을 통과할 수 있는 취약점이 존재합니다.
💡 쉬운 설명
인증서가 정해진 규칙을 잘 따르고 있는지 확인하는 기능이 제대로 작동하지 않는 문제입니다. 이로 인해 규칙을 어긴 가짜 인증서가 진짜처럼 통과될 위험이 있습니다.
🇺🇸 원문 (English)
The function X509_VERIFY_PARAM_add0_policy() is documented to
implicitly enable the certificate policy check when doing certificate
verification. However the implementation of the function does not
enable the check which allows certificates with invalid or incorrect
policies to pass the certificate verification.
As suddenly enabling the policy check could break existing deployments it was
decided to keep the existing behavior of the X509_VERIFY_PARAM_add0_policy()
function.
Instead the applications that require OpenSSL to perform certificate
policy check need to use X509_VERIFY_PARAM_set1_policies() or explicitly
enable the policy check by calling X509_VERIFY_PARAM_set_flags() with
the X509_V_FLAG_POLICY_CHECK flag argument.
Certificate policy checks are disabled by default in OpenSSL and are not
commonly used by applications.
📍 영향받는 시스템
OpenSSL (X509_VERIFY_PARAM_add0_policy 함수를 사용하는 애플리케이션)
⚔️ 공격 벡터
잘못된 정책을 포함한 인증서를 사용하여 인증 검증 과정을 우회함
🛡️ 대응 방법
X509_VERIFY_PARAM_set1_policies()를 사용하거나 X509_V_FLAG_POLICY_CHECK 플래그를 명시적으로 설정하도록 코드를 수정함
🔧 검증 코드
설치된 OpenSSL 버전을 확인하여 해당 취약점이 해결된 패치 버전인지 확인합니다.