| 취약점ID |
22737 |
| 위험도 |
30 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
SSL |
| 상세설명 |
해당 SSL 서버는 SSLv3를 이용한 암호화된 접속들을 수용한다.
SSL은 TLS 이전의 암호화 통신 프로토콜로 넷스케이프 사에서 개발되어 SSL 버전 3는 1996년에 발표되었다. 그러나 SSL 버전 3는 2014년 SSL의 모든 블록 암호에 영향을 주는 푸들(POODLE) 공격의 취약한 것으로 밝혀졌으며, RC4 암호의 사용으로 인해 쉽게 암호가 깨질 수 있어 2015년에는 RFC 7568에 의해 SSL 버전 3가 사용 금지되었다.
* 참고 사이트:
https://www.owasp.org/index.php/Transport_Layer_Protection_Cheat_Sheet#Rule_-_Only_Support_Strong_Protocols
* 영향을 받는 플랫폼:
모든 운영체제 모든 버전 |
| 해결책 |
SSL 3.0을 사용 중지하고 대신 TLS 1.2를 사용함으로써, 이 취약점과 관련한 위험의 발생 가능성을 제거한다.
Apache 웹 서버의 경우:
ssl.conf 파일이 다음 라인을 가지도록 한다:
SSLProtocol -SSLv2 -SSLv3 +TLSv1 +TLSv1.1 +TLSv1.2
기타:
해당 제조업체에 문의하여 업그레이드나 패치 정보에 대해 알아본다. |
| 관련 URL |
(CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
(ISS) |
|
