OpenSSL 다중 취약점

==========================
KA-2002-074 : Multiple Vulnerabilities in OpenSSL
--------------------------

최초작성일 : 2002/07/31
갱 신 일 :
출 처 : http://www.cert.org/advisories/CA-2002-23.html
작 성 자 : 변대용, <yong [at] certcc [dot] or [dot] kr>

-- 제목 --------------
OpenSSL 다중 취약점

-- 해당 시스템 -------
OpenSSL 0.9.6e 이전버전 및 Pre-Release 0.9.7-beta2 까지의 버전,
OpenSSL Pre-Release 0.9.7-beta2 버전 및 Kerberos 기능이 활성화된 이전 버전,
SSLeay Library

-- 개요 --------------
OpenSSL에 원격으로 악용가능한 버퍼 오버플로우 취약점 및
OpenSSL에 의해 사용되는 ASN.1의 암호화에 문제점이 존재한다.
이러한 취약점을 이용하여 공격자가 임의의 코드를 공격대상 시스템에서
실행가능하며, DoS공격 또한 수행될 수 있다.

-- 설명 --------------
OpenSSL은 Secure Sockets Layer(SSL v2/v3), Transport Layer Security(TLS v1)
프로토콜 및 암호 라이브러리를 Open-Source식으로 구현하여 널리 사용되어지고 있다.
SSL과 TLS은 HTTP와 같은 상위계층에서 client와 server간의 안전한
통신에 사용되는 프로토콜이며, 이를 구현한 OpenSSL client와 server 시스템에
원격공격이 가능한 다중 취약점이 존재한다.

1. SSLv2 handshake 과정 중 일어나는 OpenSSL server 버퍼 오버플로우 취약점 :
SSL 서버와의 handshake 과정에 사용되는 키의 오용으로 발생한다.

2. SSLv3 handshake 과정 중 일어나는 OpenSSL client 버퍼 오버플로우 취약점 :
handshake 과정 중 대규모의 세션 ID가 client로 보내짐으로서 발생한다.

3. SSLv3 handshake 과정 중 일어나는 OpenSSL server(Kerberos가 활성화된) 버퍼 오버플로우 취약점 :
server와의 SSLv3 handshake 과정 중 client에 의해 보내지는 키의 변형으로 발생한다.

4. 정수값의 ASCII 코드를 저장하는 버퍼의 취약점 :
이 취약점은 64-bit 플랫폼에서 구동하는 client와 server에서만 발생한다.

5. SSL, TLS, S/MIME, PKCS#7 routine의 구현에 존재하는 ASN.1 암호화 에러 :
OpenSSL에 의해 사용되는 ASN.1 라이브러리에 암호화 에러가 있어, 인증서 암호의
parsing이 정확히 수행되지 않는다.

-- 영향 --------------
위 설명에서 언급된 취약점을 이용하여 공격자가 원격으로 공격대상 시스템에 임의의
코드를 실행시키거나 DoS공격을 수행할 수 있다. ASN.1 암호화 에러 취약점 또한 DoS 공격에
악용될 수 있다.

-- 해결책 --------------
1. 해당제품의 벤더로부터의 패치를 적용한다.

2. OpenSSL 버전 0.9.6e을 아래의 URL에서 다운로드한 후 업그레이드 한다.

URL : http://www.openssl.org/source/

1 또는 2에서 패치를 적용하거나 업그레이드한 후 OpenSSL를 사용하는
모든 어플리케이션을 재컴파일한 후 시스템을 실행시킨다.

3. 취약한 시스템의 어플리케이션이나 서비스를 중단한다.

-- 참조 사이트 -------
OpenLDAP :
http://www.openldap.org/
OpenSSL :
http://www.openssl.org/news/secadv_20020730.txt.
RedHat :
http://rhn.redhat.com/errata/RHSA-2002-155.html

----------------------------------------------------------------
한국정보보호진흥원(Korea Information Security Agency),
Computer Emergency Response Team Coordination Center , CERTCC-KR
전화: 118 (지방 02-118) Email: <certcc [at] certcc [dot] or [dot] kr>
================================================================

관련 링크: http://certcc.or.kr/advisory/ka2002/ka2002-074.txt