🇰🇷 한글 설명
Bouncy Castle for Java 1.73 미만 버전의 org.bouncycastle.openssl.PEMParser 클래스에서 서비스 거부(DoS) 취약점이 발견되었습니다. 조작된 ASN.1 데이터가 포함된 OpenSSL PEM 인코딩 스트림을 파싱할 때 OutOfMemoryError가 발생하여 시스템이 중단될 수 있습니다.
💡 쉬운 설명
특수하게 제작된 파일을 프로그램에 입력하면 메모리를 과도하게 사용하여 컴퓨터가 멈추거나 꺼질 수 있는 문제입니다. 보안 인증서 파일을 읽어들이는 과정에서 발생할 수 있습니다.
🇺🇸 원문 (English)
Bouncy Castle for Java before 1.73 contains a potential Denial of Service (DoS) issue within the Bouncy Castle org.bouncycastle.openssl.PEMParser class. This class parses OpenSSL PEM encoded streams containing X.509 certificates, PKCS8 encoded keys, and PKCS7 objects. Parsing a file that has crafted ASN.1 data through the PEMParser causes an OutOfMemoryError, which can enable a denial of service attack. (For users of the FIPS Java API: BC-FJA 1.0.2.3 and earlier are affected; BC-FJA 1.0.2.4 is fixed.)
📍 영향받는 시스템
Bouncy Castle for Java 1.73 미만 버전 (FIPS Java API의 경우 BC-FJA 1.0.2.3 및 이전 버전)
⚔️ 공격 벡터
조작된 ASN.1 데이터가 포함된 PEM 형식의 파일을 PEMParser를 통해 파싱하도록 유도
🛡️ 대응 방법
Bouncy Castle 라이브러리를 1.73 이상 버전으로 업데이트 (FIPS 사용자는 BC-FJA 1.0.2.4 이상으로 업데이트)
🔧 검증 코드
명령어 결과에 버전이 1.73 미만인 Bouncy Castle 라이브러리 파일 경로가 출력되면 취약한 상태입니다.
find / -name "*.jar" 2>/dev/null | xargs grep -l "org/bouncycastle/openssl/PEMParser" | xargs grep -E "Bouncy Castle|bc-fja" | grep -v "1.73" | grep -v "1.0.2.4"