🇰🇷 한글 설명
oqs-provider의 하이브리드(전통 + 양자내성) 암호화 키 및 서명 처리에서 DECODE_UINT32로 디코딩된 길이값이 적절히 검증되지 않아 발생하는 취약점입니다. 검증되지 않은 길이값이 메모리 읽기/쓰기에 직접 사용되어 시스템 크래시나 민감한 정보 유출을 초래할 수 있으며, v0.6.1에서 패치되었습니다.
💡 쉬운 설명
OpenSSL 양자내성 암호화 확장 프로그램에서 악의적으로 조작된 암호화 파일을 처리할 때 검증 없이 메모리에 접근하는 문제입니다. 이를 악용하면 서버가 다운되거나 비밀정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
oqs-provider is a provider for the OpenSSL 3 cryptography library that adds support for post-quantum cryptography in TLS, X.509, and S/MIME using post-quantum algorithms from liboqs. Flaws have been identified in the way oqs-provider handles lengths decoded with DECODE_UINT32 at the start of serialized hybrid (traditional + post-quantum) keys and signatures. Unchecked length values are later used for memory reads and writes; malformed input can lead to crashes or information leakage. Handling of plain/non-hybrid PQ key operation is not affected. This issue has been patched in in v0.6.1. All users are advised to upgrade. There are no workarounds for this issue.
📍 영향받는 시스템
oqs-provider v0.6.0 이하 (v0.6.1에서 패치됨)
⚔️ 공격 벡터
악의적으로 조작된 하이브리드 암호화 키 또는 서명을 포함한 파일을 OpenSSL을 통해 처리하도록 유도
🛡️ 대응 방법
oqs-provider를 v0.6.1 이상으로 업그레이드
🔧 검증 코드
oqs-provider 설치 확인 결과, 존재하는 경우 버전 정보나 설치 경로 확인 후 v0.6.1 이상인지 확인
openssl version -a | grep -i oqs || (find /usr/lib* -name '*oqs*' 2>/dev/null | head -5)