이호스트ICT 공식 블로그

□ 개요 o OpenSSL 프로젝트는 OpenSSL에서 발생하는 취약점을 해결한 보안 업데이트 발표 o 공격자는 해당 취약점을 악용하여 피해를 발생시킬 수 있으므로, 해당 제품을 사용하는 이용자들은 최신 버전으로 업데이트 권고 □ 설명 [1] o OpenSSL에서 발생하는 Type Confusion 취약점 (CVE-2023-0286) o OpenSSL의 RSA 복호화에서 Timing Oracle 인해 발생하는 Bleichenbacher 공격 취약점 (CVE-2022-4304) o OpenSSL에서 버퍼 오버플로우로 인해 발생하는 서비스 거부 취약점 (CVE-2022-4203) o OpenSSL에서 BIO_new_NDEF 함수 호출 시 발생하는 use-after-free 취약점 (CVE-2023-0215)..

□ 개요 o OpenSSL 프로젝트는 OpenSSL에서 발생하는 취약점을 해결한 보안 업데이트 발표 o 공격자는 해당 취약점을 악용하여 피해를 발생시킬 수 있으므로, 해당 제품을 사용하는 이용자들은 최신 버전으로 업데이트 권고 □ 설명 [1] o OpenSSL에서 버퍼오버플로우로 인해 발생하는 원격 코드 실행 취약점 (CVE-2022-3602) o OpenSSL에서 버퍼오버플로우로 인해 발생하는 서비스 거부 취약점 (CVE-2022-3786) □ 영향을 받는 버전 및 해결 버전 제품명 영향받는 버전 해결 버전 OpenSSL 3.0.0 ~ 3.0.6 버전 3.0.7 버전 ※ 하단의 참고사이트를 확인하여 해결 버전으로 업데이트 수행 [2] ※ OpenSSL 1.0.2, 1.1.1 버전 및 이하 버전은 영향을..

□ 개요 o OpenSSL 프로젝트는 OpenSSL에서 발생하는 취약점을 해결한 보안 업데이트 발표 o 낮은 버전 사용자는 여러 가지 공격에 취약하므로, 최신 버전으로 업데이트 권고 □ 설명 [1] o OpenSSL에서 메모리 커럽션으로 인해 발생하는 원격 코드 실행 취약점 (CVE-2022-2274) o OpenSSL에서 일부 바이트를 암호화하지 못해 발생하는 정보 노출 취약점 (CVE-2022-2097) □ 영향을 받는 제품 및 최신 버전 제품명 취약점 영향받는 버전 해결 버전 OpenSSL CVE-2022-2274 3.0.4 버전 3.0.5 CVE-2022-2097 1.1.1 버전 1.1.1q 3.0.x 버전 3.0.5 ※ 하단의 참고사이트를 확인하여 업데이트 수행 [2] ※ OpenSSL 1.1...

□ 개요 o OpenSSL 3.0.4 버전에서 발생하는 취약점이 공개됨에 따라 해당 제품을 사용하는 이용자의 주의 권고[1] □ 설명 o OpenSSL 3.0.4 버전에서 발생하는 원격 메모리 손상 취약점 ※ AVX-512 CPU를 지원하는 x64시스템에 제한되어 발생 □ 영향받는 버전 o OpenSSL 3.0.4 버전 □ 해결 방안 o 현재 관련 보안 패치 및 업데이트는 발표되지 않았으므로 보안패치 및 업데이트 발표시 즉시 적용 권고 □ 기타 문의사항 o 한국인터넷진흥원 사이버민원센터: 국번없이 118 [참고사이트] [1] https://guidovranken.com/2022/06/27/notes-on-openssl-remote-memory-corruption/ □ 작성 : 취약점분석팀

□ 개요 o OpenSSL에서 발생하는 취약점을 해결한 보안 업데이트 발표 o 낮은 버전 사용자는 여러 가지 공격에 취약하므로, 최신 버전으로 업데이트 권고 □ 설명 [1] o OpenSSL 내 c_rehash 스크립트에서 쉘 메타 문자를 적절하게 삭제하지 않아 발생하는 명령 주입 취약점(CVE-2022-1292) o OpenSSL 내 OCSP_basic_verify 함수가 응답 서명 인증서를 잘못 확인하여 발생하는 인증 오류 취약점(CVE-2022-1343) o RC4-MD5 암호 제품군을 통해 구현된 OpenSSL에서 AAD 데이터를 MAC키로 잘못 사용하여 발생하는 비밀번호 오류 취약점(CVE-2022-1434) o OpenSSL에서 인증서 또는 키를 디코딩할 때 사용하는 OPENSSL_LH_flu..

□ 개요 o OpenSSL에서 발생하는 취약점을 해결한 보안 업데이트 발표 o 낮은 버전 사용자는 서비스 거부 공격에 취약하므로, 최신 버전으로 업데이트 권고 □ 설명 [1] o OpenSSL 내 BN_mod_sqrt() 함수에서 연산 시 무한 루프로 인해 발생하는 서비스 거부 취약점(CVE-2022-0778) □ 영향 받는 버전 o OpenSSL 1.0.2 및 이전 버전 o OpenSSL 1.1.1 및 이전 버전 o OpenSSL 3.0 및 이전 버전 □ 해결 방안 o 해당 취약점에 영향 받는 버전의 사용자는 아래 버전으로 업데이트[2] - OpenSSL 1.0.2 버전 사용자 : 1.0.2zd 버전으로 업데이트 - OpenSSL 1.1.1 버전 사용자 : 1.1.1n 버전으로 업데이트 - OpenSS..

□ 개요 o OpenSSL에서 발생하는 취약점을 해결한 보안 업데이트 발표 o 낮은 버전 사용자는 서비스 거부 공격에 취약하므로, 최신 버전으로 업데이트 권고 □ 설명 [1] o OpenSSL에서 버퍼오버플로우로 인해 발생하는 서비스거부 취약점(CVE-2021-3711) o OpenSSL에서 발생하는 정보노출 및 서비스거부 취약점(CVE-2021-3712) □ 영향받는 버전 o OpenSSL 1.1.1k 및 이전 버전 ※ 1.0.2버전은 영향받지 않음 □ 해결 방안 o 취약점이 해결된 버전(OpenSSL 1.1.1l 이상)으로 업데이트 적용 □ 기타 문의사항 o 한국인터넷진흥원 사이버민원센터: 국번없이 118 [참고사이트] [1] https://www.openssl.org/news/secadv/20210..

□ 개요 o OpenSSL에서 발생하는 취약점을 해결한 보안 업데이트 발표[1] o 낮은 버전 사용자는 서비스 거부 공격에 취약하므로, 최신 버전으로 업데이트 권고 □ 설명 o OpenSSL TLS 서버에서 조작된 서명 알고리즘의 확장 필드를 처리할 때 널포인터 역참조로 발생하는 서비스 거부 취약점(CVE-2021-3449) [2] o OpenSSL에서 유효하지 않은 인증서를 검증하는 기능을 우회하는 보안기능 우회 취약점(CVE-2021-3450) [3] □ 영향받는 제품 o OpenSSL 1.1.1 ~ 1.1.1j 버전 * 1.0.2 버전은 영향받지 않음 □ 해결 방안 o OpenSSL 1.1.1k 버전으로 업데이트 적용 □ 기타 문의사항 o 한국인터넷진흥원 사이버민원센터: 국번없이 118 [참고사이트..

안녕하세요, 이호스트IDC 영업1팀입니다.국내외 이호스트IDC 이용 고객님들을 위해 OPEN SSL 보안 취약점 관련하여 공유드립니다.OPEN SSL 이용 고객 들은 참고하셔서 안정적인 서비스 운영이 되시기 바랍니다. □ 개요 o OpenSSL에서 서비스 거부 공격이 가능한 취약점을 해결한 보안 업데이트 발표 [1] □ 설명 o 핸드 셰이크가 진행되는 과정에서 암호 알고리즘(Encrypted-Then-Mac)을 재검토 할 때 충돌이 발생하는 취약점 (CVE-2017-3733) □ 해당 시스템 o 영향을 받는 제품 및 버전 - OpenSSL 1.1.0 버전 □ 해결 방안 o OpenSSL 1.1.0 버전 사용자는 1.1.0e 버전으로 업데이트 [2] □ 기타 문의사항 o 한국인터넷진흥원 인터넷침해대응센터:..

안녕하세요. 이호스트데이터센터 IDC사업부 지게꾼입니다. OpenSSL 취약점 보안업데이트 권고사항을 공유하고자 포스팅하게 되었습니다. 해당 발췌는 한국인터넷진흥원 침해대응센터에서 발췌하였음을 알려드립니다.    □ 개요 o OpenSSL에서는 키 교환에서 중간자 공격이 가능한 취약점, SSLv2의 핸드셰이크 전송에서 중간자 공격이 가능한 취약점 등 2개의 취약점을    보완한 보안업데이트를 발표[1] □ 설명 o TLS 프로토콜의 Diffie-Hellman 키 교환에서 소수 값 처리 중 MITM(man-in-the-middle)공격이 가능한 취약점(CVE-2016-0701) o SSLv2을 사용할 경우 조작된 핸드셰이크 전송을 통한 MITM(man-in-the-middle)공격이 가능한 취약점(CVE-..

안녕하세요. 이호스트데이터센터 입니다. 서버호스팅, 코로케이션 고객사 중에서 아래와 같은 OpenSSL 버전을 사용하고 있으면 업데이트 패치 작업을 진행하는 것이 보안상 필요할 듯 합니다. 개요 취약한 OpenSSL 버전을 사용하는 서버와 클라이언트 사이에서 공격자가 암호화된 데이터를 복호화할 수 있는 취약점, 서비스 거부 취약점 등 7개의 취약점을 보완한 보안업데이트를 발표[1] 설명 TLS 프로토콜에서 Diffie-Hellman 키 교환 처리 중 512비트로 다운그레이드 시키는 취약점(CVE-2015-4000) ECParameters 구조 처리 중 발생하는 서비스 거부 취약점 (CVE-2015-1788) X509_cmp_time 함수에서 발생하는 서비스 거부 공격 취약점 (CVE-2015-1789) ..

개요 통신 구간 암호화를 위해 많이 사용하는 OpenSSL 라이브러리에서 서버에 저장된 중요 메모리 데이터가 노출되는 HeartBleed라고 명명된 심각한 버그가 발견되어 시스템 및 소프트웨어에 대한 신속한 취약점 조치를 권고 취약점 정보 시스템 메모리 정보 노출 취약점 CVE-2014-0160 (2014.04.07.) 영향 받는 버전 OpenSSL 1.0.1 ~ OpenSSL 1.0.1f OpenSSL 1.0.2-beta, OpenSSL 1.0.2-beta1 영향 받는 시스템 및 소프트웨어 취약한 OpenSSL 버전이 탑재된 시스템 서버(웹서버, VPN 서버 등), 네트워크 장비, 모바일 단말 등 다양한 시스템이 해당될 수 있음 취약한 OpenSSL 라이브러리가 내장된 소프트웨어 제품 영향 받지 않는 ..