OpenSSL 긴급 보안 업데이트
출처 : http://www.boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=24083 OpenSSL 긴급 보안 업데이트 □ 개요 o 3월 1일(현지시간) 오픈SSL은 SSLv2 규격(Protocol)에 대한 긴급 업데이트 발표[1] o SSL 취약점을 이용한 신종 공격 방식인 DROWN, CacheBleed에 대한 보안 업데이트 등 – DROWN(Decrypting RSA with Obsolete and Weakened eNcryption) – CacheBleed: 인텔 프로세서의 Cache-bank 충돌로 인한 정보 노출을 이용한 부채널 공격 □ 영향 받는 사용자 – OpenSSL 1.0.2 이전 버전 사용자: 1.0.2g로 업데이트 – OpenSSL 1.0.1 이전 버전 사용자: 1.0.1s로 업데이트 □ 업데이트 내용 o SSLv2 프로토콜 비활성화 기본 설정 및 SSLv2 EXPORT 암호화 제거 등 □ 취약점 내용 및 권고 사항 o DROWN: 낡고 취약한 암호화를 통한 RSA 복호화 – RSA(Rivest Shamir Adleman): 공개키 암호화 알고리즘의 하나 CVEs 심각도 내용 비고 CVE-2016-0800 높음 SSLv2를 이용한 TLS에 대한 프로토콜 간 공격 DROWN CVE-2016-0705 낮음 DFB, 발생 빈도 낮음 CVE-2016-0798 낮음 SRP 데이터베이스에서의 메모리 누수 CVE-2016-0797 낮음 널 포인터 역참조 및 힙 커럽션 [ more… ]