🇰🇷 한글 설명
Botan은 C++ 암호화 라이브러리입니다. 1.11.34부터 3.13.0 이전 버전까지 botan ocsp_check 명령어는 인증서의 Authority Information Access URL에서 OCSP 응답을 가져올 때 응답 서명을 검증하지 않고 서명자의 권한도 확인하지 않았습니다. 이로 인해 악의적인 응답자나 중간자 공격자가 빈 값, 잘못된 값, 또는 권한 없는 서명을 가진 GOOD 응답을 반환할 수 있어, 폐기된 인증서도 검사 결과가 정상(종료 코드 0, OK 출력)으로 표시될 수 있습니다. 이 문제는 명령줄 인터페이스에만 영향을 미치며 3.13.0 버전에서 수정되었습니다.
💡 쉬운 설명
Botan 암호화 도구의 인증서 폐기 여부 확인 기능에 결함이 있어, 이미 폐기된 인증서를 정상으로 잘못 판단할 수 있습니다. 공격자가 가짜 확인 응답을 보내면 위험한 인증서가 안전하다고 표시될 수 있습니다.
🇺🇸 원문 (English)
Botan is a C++ cryptography library. From 1.11.34 until 3.13.0, the botan ocsp_check command requested an OCSP response from a certificate's Authority Information Access URL without verifying the response signature or authorizing the signer. A malicious responder or on-path attacker could return a matching and timely GOOD response with an empty, invalid, or unauthorized signature, causing a revoked certificate to produce exit status 0 and OCSP check OK output. Only the command-line interface is affected. This issue is fixed in version 3.13.0.
📍 영향받는 시스템
Botan 1.11.34 이상 3.13.0 미만 버전의 botan 명령줄 도구(ocsp_check) 사용 환경
⚔️ 공격 벡터
악의적인 OCSP 응답자 또는 네트워크 중간자가 서명이 없거나 무효한 GOOD 응답을 반환하여 폐기된 인증서를 정상으로 위장
🛡️ 대응 방법
Botan을 3.13.0 이상 버전으로 업그레이드하고, 그 전까지는 botan ocsp_check 명령에 의존한 인증서 검증을 중단
🔧 검증 코드
출력된 버전이 3.13.0 미만(1.11.34 이상)이면 취약하며, 3.13.0 이상이면 수정된 버전입니다.
botan version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'
💻 영향받는 소프트웨어
IBM Security Verify Access