OpenSSL, “높은’ 위험도의 취약점을 수정하는 패치 공개돼

OpenSSL, “높은’ 위험도의 취약점을 수정하는 패치 공개돼

OpenSSL Releases Patch For "High" Severity Vulnerability

지난 화요일, OpenSSL 프로젝트팀이 3개의 보안 취약점을 수정하는 OpenSSL 버전 1.1.0c를 공개했습니다. 이 중 가장 심각한 버그는 *-CHACHA20-POLY1305 암호화 스위트를 사용하는 TLS 연결과 관련된 힙 버퍼 오버플로우 버그(CVE-2016-7054)입니다.

구글 보안팀의 Robert Święcki가 제보한 해당 취약점은 더 큰 페이로드를 변조하여 DoS 공격으로 이어질 수 있으며, 결국 OpenSSL의 충돌을 야기시킵니다.

이 취약점의 위험도는 “높음”이며, OpenSSL의 1.1.0 이전 버전에는 영향을 미치지 않고 있습니다. 그러나 OpenSSL 프로젝트팀은 해당 취약점이 DoS 공격에 악용될 수 있다는 증거는 찾지 못했다고 발표했습니다. 또한 어플리케이션들의 충돌을 야기시킬 수 있는 위험도 "보통"인 취약점(CVE-2016-7053)도 패치했습니다.

프로젝트팀은 “유효하지 않은 CMS 구조를 파싱하는 어플리케이션들은 NULL 포인터 역참조로 충돌될 수 있다. 이는 OpenSSL 1.1.0의 ASN.1 CHOICE 타입을 처리하는 과정에서 발생하는 버그로 인해 야기된다. 해당 시도가 유효하지 않은 특정 인코딩을 free 시키기 위한 것일 경우, NULL 값이 그 구조의 콜백으로 이동하는 결과를 초래한다. NULL 값을 처리하지 않는 콜백을 사용하는 CHOICE 구조만이 해당 취약점에 영향을 받는다.”고 설명했습니다.

해당 취약점은 OpenSSL 1.1.0에만 영향을 미치는 것으로 밝혀졌습니다. 

OpenSSL 1.1.0c 업데이트는 낮은 위험도 취약점인 CVE-2016-7055도 수정했습니다. 이는 256비트로 나누어지는 입력의 길이를 처리하는 Broadwell의 Montgomery multiplication 프로시져와 관련이 있습니다.

처음에 해당 이슈는 보안 문제로 분류되지 않았지만, 전문가들이 해당 취약점이 매우 특정한 상황에서 공격자들에게 악용될 수 있음을 입증했습니다. 이 취약점은 OpenSSL 버전 1.0.2에 영향을 미치지만, 위험도가 낮기 때문에 현재 업데이트를 발행하지는 않았습니다. 관련 수정 사항은 이후 공개할 1.0.2 버전에 포함될 것으로 보입니다.

모든 사용자들은 OpenSSL을 1.1.0c로 업데이트할 것을 권고 드립니다.

출처 :

http://thehackernews.com/2016/11/openssl-patch-update.html