🇰🇷 한글 설명
cryptlib 암호화 라이브러리가 TLS에서 RSA 키 교환 사이퍼 스위트를 지원하도록 컴파일될 경우, Bleichenbacher 공격의 타이밍 변형 취약점에 노출됩니다. 공격자가 서버에 대량의 연결을 시도하면 RSA 암호문을 복호화하거나 서버 인증서를 사용하여 서명을 위조할 수 있습니다.
💡 쉬운 설명
암호화 라이브러리의 특정 설정이 켜져 있을 때, 암호 해독 과정에서 발생하는 미세한 시간 차이를 이용해 비밀 정보를 알아낼 수 있는 결함입니다. 이를 통해 해커가 암호화된 데이터를 풀거나 가짜 인증서를 만들 수 있습니다.
🇺🇸 원문 (English)
A security vulnerability has been identified in the cryptlib cryptographic library when cryptlib is compiled with the support for RSA key exchange ciphersuites in TLS (by setting the USE_RSA_SUITES define), it will be vulnerable to the timing variant of the Bleichenbacher attack. An attacker that is able to perform a large number of connections to the server will be able to decrypt RSA ciphertexts or forge signatures using server's certificate. THIS CVE ID IS CURRENTLY DISPUTED - MAINTAINER NOTE: There are only two situations where it's enabled, one is for fuzz-testing to exercise code paths that wouldn't otherwise be available, the other is for static source code analysis with tools like Coverity and Prefast, again to open up code paths that otherwise wouldn't be available. It can also be enabled manually in two specific test builds just to make sure the code still compiles OK, to avoid bit rot and verify that the fuzz-testing build will compile without errors.
📍 영향받는 시스템
USE_RSA_SUITES 옵션이 활성화되어 컴파일된 cryptlib 라이브러리
⚔️ 공격 벡터
서버에 대량의 연결을 시도하여 응답 시간 차이를 분석하는 타이밍 공격
🛡️ 대응 방법
컴파일 시 USE_RSA_SUITES 정의를 제거하거나 RSA 키 교환 사이퍼 스위트 사용을 비활성화함
🔧 검증 코드
명령어 결과에 USE_RSA_SUITE 설정이 포함되어 있다면 해당 취약점에 노출될 가능성이 있습니다.
grep -r "USE_RSA_SUITE" /path/to/cryptlib/source/directory
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
Microsoft Exchange Server