| 취약점ID |
210219 |
| 위험도 |
40 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
WWW |
| 상세설명 |
원격 호스트에 설치된 OpenSSL 버전은 3.0.3 이전 버전입니다. 따라서 3.0.3 권고에 언급된 여러 취약점의 영향을 받습니다.
- 해시 테이블을 비우는 OPENSSL_LH_flush() 함수에는 제거된 해시 테이블 항목이 차지하는 메모리 재사용을 중단하는 버그가 포함되어 있습니다. (CVE-2022-1473)
- RC4-MD5 암호 제품군의 OpenSSL 3.0 구현은 AAD 데이터를 MAC 키로 잘못 사용합니다. (CVE-2022-1434)
- 'OCSP_basic_verify' 기능은 OCSP 응답에서 서명자 인증서를 확인합니다. (기본값이 아닌) 플래그 OCSP_NOCHECKS가 사용되는 경우 응답 서명 인증서가 확인에 실패한 경우에도 응답은 긍정적입니다(성공적인 확인을 의미). `OCSP_basic_verify`의 대부분의 사용자는 OCSP_NOCHECKS 플래그를 사용하지 않을 것으로 예상됩니다. 이 경우 인증서 확인 실패의 경우 `OCSP_basic_verify` 함수는 음수 값(치명적인 오류를 나타냄)을 반환합니다. 이 경우 정상적인 예상 반환 값은 0입니다. 이 문제는 명령줄 OpenSSL ocsp 응용 프로그램에도 영향을 줍니다. -no_cert_checks 옵션을 사용하여 ocsp 응답을 확인할 때 명령줄 응용 프로그램은 실제로 실패했지만 확인이 성공했다고 보고합니다. 이 경우 잘못된 성공 응답에는 실패를 보여주고 분명히 성공한 결과와 모순되는 오류 메시지도 함께 표시됩니다. (CVE-2022-1343)
- c_rehash 스크립트는 명령 주입을 방지하기 위해 쉘 메타 문자를 적절하게 삭제하지 않습니다. (CVE-2022-1292)
* 참고 사이트:
https://www.openssl.org/news/secadv/20220503.txt
https://cve.org/CVERecord?id=CVE-2022-1292
https://cve.org/CVERecord?id=CVE-2022-1473
https://cve.org/CVERecord?id=CVE-2022-1434
https://cve.org/CVERecord?id=CVE-2022-1343
* 영향을 받는 플랫폼:
3.0.3 이전의 OpenSSL 3.0.x 버전들
Linux Any version
Unix Any version
Microsoft Windows Any version |
| 해결책 |
OpenSSL 웹 사이트인 http://www.openssl.org/ 에서 구할 수 있는 OpenSSL의 가장 최신 버전(3.0.3 또는 이후)으로 업그레이드 하여야 한다. |
| 관련 URL |
CVE-2022-1292,CVE-2022-1343,CVE-2022-1434,CVE-2022-1473 (CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
(ISS) |
|
