🇰🇷 한글 설명
wolfSSL의 TLS 1.3 양자 내성 암호(PQC) 하이브리드 KeyShare 처리 과정에서 힙 메모리 Use-After-Free 취약점이 발견되었습니다. 오류 처리 경로에서 이미 해제된 KyberKey 객체에 대해 다시 메모리 해제 및 Zeroing 작업을 시도하여 메모리 오염이 발생할 수 있습니다.
💡 쉬운 설명
프로그램이 이미 사용이 끝나서 버린 메모리 공간을 실수로 다시 건드리는 오류가 있습니다. 이로 인해 해커가 시스템의 메모리 상태를 조작하거나 프로그램을 강제로 종료시킬 수 있습니다.
🇺🇸 원문 (English)
A heap use-after-free exists in wolfSSL's TLS 1.3 post-quantum cryptography (PQC) hybrid KeyShare processing. In the error handling path of TLSX_KeyShare_ProcessPqcHybridClient() in src/tls.c, the inner function TLSX_KeyShare_ProcessPqcClient_ex() frees a KyberKey object upon encountering an error. The caller then invokes TLSX_KeyShare_FreeAll(), which attempts to call ForceZero() on the already-freed KyberKey, resulting in writes of zero bytes over freed heap memory.
📍 영향받는 시스템
wolfSSL (TLS 1.3 PQC 하이브리드 모드 사용 버전)
⚔️ 공격 벡터
조작된 TLS 1.3 PQC 하이브리드 KeyShare 메시지를 전송하여 오류 처리 경로를 유도
🛡️ 대응 방법
wolfSSL을 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
현재 설치된 wolfSSL의 버전을 확인하여 취약점이 해결된 패치 버전인지 대조하십시오.
wolfssl_version_check_command_placeholder