🇰🇷 한글 설명
Golang FIPS OpenSSL에서 초기화되지 않은 버퍼 길이 변수가 반환될 수 있는 취약점입니다. 공격자가 조작된 데이터를 보내면 HMAC 검증을 우회하거나 파생 키를 0으로 설정할 수 있으며, 이는 Go TLS 스택에 영향을 미칠 수 있습니다.
💡 쉬운 설명
Go의 암호화 라이브러리에서 보안 검증이 제대로 이루어지지 않을 수 있는 문제입니다. 공격자가 이를 악용하면 암호화된 통신을 위조하거나 암호화 키를 손상시킬 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in Golang FIPS OpenSSL. This flaw allows a malicious user to randomly cause an uninitialized buffer length variable with a zeroed buffer to be returned in FIPS mode. It may also be possible to force a false positive match between non-equal hashes when comparing a trusted computed hmac sum to an untrusted input sum if an attacker can send a zeroed buffer in place of a pre-computed sum. It is also possible to force a derived key to be all zeros instead of an unpredictable value. This may have follow-on implications for the Go TLS stack.
📍 영향받는 시스템
Golang FIPS OpenSSL을 사용하는 Go 1.22.1 미만, Go 1.21.6 미만 버전
⚔️ 공격 벡터
HMAC 검증 우회를 위해 조작된 버퍼 데이터 전송 또는 TLS 통신 방해
🛡️ 대응 방법
Go를 1.22.1 이상 또는 1.21.6 이상으로 업데이트하고 OpenSSL 패치 적용
🔧 검증 코드
표시된 Go 버전이 1.22.1 이상 또는 1.21.6 이상인지 확인하세요. 그보다 낮으면 업데이트가 필요합니다.
go version && openssl version