| 취약점ID |
210227 |
| 위험도 |
40 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
WWW |
| 상세설명 |
원격 호스트에 설치된 OpenSSL의 버전이 3.0.7 이전입니다. 따라서 3.0.7 권고에서 언급한 바와 같이 여러 가지 취약성의 영향을 받습니다.
- X.509 인증서 검증, 특히 이름 제약 조건 검사에서 버퍼 오버런이 트리거될 수 있습니다. 이 문제는 인증서 체인 서명 확인 후에 발생하며 CA가 악의적인 인증서를 서명했거나 신뢰할 수 있는 발급자에 대한 경로를 구성하지 못했더라도 응용프로그램이 인증서 확인을 계속해야 합니다. 공격자는 인증서의 악의적인 전자 메일 주소를 조작하여 스택에 있는 '.' 문자(10진수 46)를 포함하는 임의의 바이트 수를 오버플로할 수 있습니다. 이 버퍼 오버플로로 인해 충돌이 발생할 수 있습니다(서비스 거부가 발생합니다). TLS 클라이언트에서는 악의적인 서버에 연결하여 이 문제가 트리거될 수 있습니다. TLS 서버에서 서버가 클라이언트 인증을 요청하고 악의적인 클라이언트가 연결하는 경우 이 문제가 트리거될 수 있습니다. (CVE-2022-3786)
- X.509 인증서 검증, 특히 이름 제약 조건 검사에서 버퍼 오버런이 트리거될 수 있습니다. 이 문제는 인증서 체인 서명 확인 후에 발생하며 CA가 악의적인 인증서에 서명했거나 신뢰할 수 있는 발급자에 대한 경로를 구성하지 못했더라도 응용 프로그램이 인증서 확인을 계속해야 합니다. 공격자는 악의적인 전자 메일 주소를 조작하여 공격자가 제어하는 스택의 바이트 4개를 오버플로할 수 있습니다. 이 버퍼 오버플로로 인해 충돌이 발생하거나(서비스 거부가 발생함) 잠재적으로 원격 코드가 실행될 수 있습니다. 많은 플랫폼은 원격 코드 실행의 위험을 완화할 수 있는 스택 오버플로 보호 기능을 구현한다. 위험은 주어진 플랫폼/컴파일러에 대한 스택 레이아웃을 기반으로 더 완화될 수 있다. CVE-2022-3602의 사전 발표에서는 이 문제가 심각하다고 설명했습니다. 위에서 설명한 완화 요인들 중 일부를 기반으로 한 추가 분석은 이를 HIGH로 강등시켰다. 사용자는 여전히 가능한 한 빨리 새 버전으로 업그레이드해야 합니다. TLS 클라이언트에서는 악의적인 서버에 연결하여 이 문제가 트리거될 수 있습니다.TLS 서버에서 서버가 클라이언트 인증을 요청하고 악의적인 클라이언트가 연결하는 경우 이 문제가 트리거될 수 있습니다. (CVE-2022-3602) |
| 해결책 |
OpenSSL 웹 사이트인 http://www.openssl.org/ 에서 구할 수 있는 OpenSSL의 가장 최신 버전(3.0.7 또는 이후)으로 업그레이드 하여야 한다. |
| 관련 URL |
CVE-2022-3602,CVE-2022-3786 (CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
(ISS) |
|
