🇰🇷 한글 설명
RFC7250 Raw Public Keys(RPK)가 활성화된 환경에서 인증서 없이 개인 키만 설정된 경우, 원격 피어가 'signature_algorithms_cert' TLS 확장을 요청하면 NULL 포인터 역참조가 발생할 수 있습니다. 이로 인해 애플리케이션이 비정상 종료되어 서비스 거부(DoS) 상태가 될 수 있습니다.
💡 쉬운 설명
인증서 없이 암호 키만 사용하는 특정 보안 설정에서, 상대방이 특정 정보를 요구하면 프로그램이 갑자기 꺼져버리는 문제입니다. 이로 인해 서비스가 중단될 수 있지만, 데이터 유출이나 해킹은 발생하지 않습니다.
🇺🇸 원문 (English)
Issue summary: In a server or client configuration with RFC7250 Raw Public Keys (RPKs)
enabled, and only the private key (with no associated certificate) configured locally,
a NULL pointer dereference may occur when the remote peer solicits raw public keys and
also sends the typically omitted "signature_algorithms_cert" TLS extension.
Impact summary: The impact is limited to a possible Denial of Service as a result of
an application abort, no data disclosure or remote command execution are possible.
CWE: CWE-476: NULL Pointer Dereference
Description: While a passing comment in sample code in the documentation suggests
that key-only RPK configurations are supported, the best-practice RPK configuration
is to always configure a corresponding certificate (possibly self-signed or
signed by any convenient CA).
When the private key is configured along with a matching certificate, the
"signature_algorithms_cert" extension is handled reliably even without the
fix, and peer clients or servers that don't support raw public keys may be
able to complete a TLS connection by pinning or verifying the corresponding
certificate or its public key.
Deployments that prefer to configure just a private key with no certificate
need to upgrade to an updated release as noted below.
FIPS impact: no
No FIPS modules are affected by this issue, as the SSL protocol implementation
is outside the OpenSSL FIPS module boundary.
📍 영향받는 시스템
RFC7250 RPK를 사용하며 인증서 없이 개인 키만 설정된 OpenSSL 기반 시스템
⚔️ 공격 벡터
특수하게 구성된 TLS 확장(signature_algorithms_cert)을 포함하여 연결을 시도하는 원격 공격
🛡️ 대응 방법
최신 버전으로 업데이트하거나, 개인 키와 쌍을 이루는 인증서(자가 서명 포함)를 함께 구성하십시오.
🔧 검증 코드
설치된 OpenSSL 버전을 확인하여 보안 패치가 적용된 최신 버전인지 제조사의 권고 사항과 비교하십시오.