OpenSSL 취약점 보안 업데이트 권고

---

OpenSSL 취약점 보안 업데이트 권고

OpenSSL : 웹브라우저와 웹 서버 간 데이터를 안전하게 주고받기 위한 네트워크 프로토콜을 오픈소스로 구현한 보안 라이브러리로 보안이 필요한 대부분의 통신에서 널리 사용

이번 OpenSSL 취약점 : 2개의 취약점은 현재 X.509 인증서에서 이메일 주소 이름 제약을 처리하는 데 사용되는 Punycode 해독 기능의 일부에 존재

---

□ 개요

 o OpenSSL 프로젝트는 OpenSSL에서 발생하는 취약점을 해결한 보안 업데이트 발표
 o 공격자는 해당 취약점을 악용하여 피해를 발생시킬 수 있으므로, 해당 제품을 사용하는 이용자들은 최신 버전으로 업데이트 권고
 

□ 설명 [1]

   * 두 취약점 모두 국제화 된 도메인 이름을 인코딩하는 데 사용되는 퓨니코드(Punycode)와 관련이 있다고 함.

 o OpenSSL에서 버퍼오버플로우로 인해 발생하는 원격 코드 실행 취약점 (CVE-2022-3602)

  - ossl_punycode_decode 함수가 퓨니코드(Punycode)를 디코드할 때 4바이트가 오버플로우됨어 원격 코드 실행이 가능하도록 함.

 o OpenSSL에서 버퍼오버플로우로 인해 발생하는 서비스 거부 취약점 (CVE-2022-3786)

  - x.509 인증서 확인 및 이름 제약 검사에서 버퍼 오버런이 트리거 될 수 있음.

 

□ 영향을 받는 버전 및 해결 버전 

제품명	영향을 받는 버전	해결 버전
OpenSSL	3.0.0~3.0.6	3.0.7

 ※ 하단의 참고사이트를 확인하여 해결 버전으로 업데이트 수행 [2]
 ※ OpenSSL 1.0.2, 1.1.1 버전 및 이하 버전은 영향을 받지 않음

 

□ 기타 문의사항
 o 한국인터넷진흥원 사이버민원센터: 국번없이 118

 

[참고사이트]
[1] https://www.openssl.org/news/secadv/20221101.txt
[2] https://www.openssl.org/source/

 

출처 : KISA 보호나라, https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=66999 

KISA 인터넷 보호나라&KrCERT

 

---

 

관련 기사 : 

김영명 기자, OpenSSL 이메일 주소 버퍼 오버플로 취약점 2건 발견, 사용자 주의, 2022.11. 03., 보안뉴스, https://www.boannews.com/media/view.asp?idx=111249&kind=1&search=title&find=openssl 

OpenSSL 이메일 주소 버퍼 오버플로 취약점 2건 발견, 사용자 주의

 

문가용 기자, 예고됐던 오픈SSL 취약점, 다행히 하트블리드까지는 아니야, 2022.11.02., 보안뉴스, https://www.boannews.com/media/view.asp?idx=111229&kind=1&search=title&find=openssl 

예고됐던 오픈SSL 취약점, 다행히 하트블리드까지는 아니야

 

문가용 기자, 11월 1일로 패치가 예고된 오픈SSL 취약점, 어쩌면 제2의 하트블리드, 2022.10.28., 보안뉴스, https://www.boannews.com/media/view.asp?idx=111111&kind=1&search=title&find=openssl 

11월 1일로 패치가 예고된 오픈SSL 취약점, 어쩌면 제2의 하트블리드