security – 페이지 11 – 지락문화예술공작단

openssl Alternative chains certificate forgery (CVE-2015-1793)

2015-07-22 KENNETH 0

출처 : http://openssl.org/news/secadv_20150709.txt 엇.. 언제 이런 이슈가 나왔지??? 하고 뒤늦게 알게 된후.. centos6 centos7 모두 업데이트 기록을 조사해 봤으나 관련 이슈로 업데이트 된 기록이 없음.. 자세히 살펴보니 1.0.2c, 1.0.2b, 1.0.1n, 1.0.1o 이렇게 4가지 버전만 해당된다고… 다행인지 centos는 해당 버전을 사용하지 않기 때문에 비껴감.. ㅋㅋㅋ 원문 OpenSSL Security Advisory [9 Jul 2015] ======================================= Alternative chains certificate forgery (CVE-2015-1793) ====================================================== Severity: High During certificate verification, OpenSSL (starting from version 1.0.1n and 1.0.2b) will attempt to find an alternative certificate chain if the first attempt to build such a chain fails. An error in the implementation of this logic can mean that an attacker could cause certain checks on untrusted certificates to be bypassed, such as the CA flag, enabling them to use a valid leaf certificate to act as a CA and “issue” an invalid certificate. This issue will impact any [ more… ]

openssl 보안취약점을 해결한 신규버전 배포

2015-03-19 KENNETH 0

URL : http://openssl.org/news/vulnerabilities.html CVE-2015-0291: [High severity] 19th March 2015 ClientHello sigalgs DoS. If a client connects to an OpenSSL 1.0.2 server and renegotiates with an invalid signature algorithms extension a NULL pointer dereference will occur. This can be exploited in a DoS attack against the server. (original advisory). Reported by David Ramos (Stanford University). * 패치된 사항은 여러가지가 있으나, 가장 중요한 내용인듯 합니다. 3월 19일자로 출시된 버전은 openssl-1.0.2a openssl-1.0.1m openssl-1.0.0r openssl-0.9.8zf 입니다. 배포본들은 아직 적용이 안된듯 하네요… 심각하다고 사전경고가 있었으니 하루정도면 올라오지 싶습니다.

openssl 에서 심각한 보안 취약점 발생

2015-03-18 KENNETH 0

참고URL : https://mta.openssl.org/pipermail/openssl-announce/2015-March/000020.html http://cve.mitre.org/ 사이트에 아직 등록되지 않음 배포주최인 openssl.org 에서는 정확히 어떤 문제인지 밝히지 않았으며 (다만, 작년에 한창 이슈화 되었던 heartbleed 수준일 것이라는 내용) 현지시간으로 3월 19일에 새로운 업데이트 버전에서 해결될 것이라고만 안내. 패치가 적용된 차기버전 openssl-1.0.2a openssl-1.0.1m openssl-1.0.0r openssl-0.9.8zf openssl.org 에서 아직 어떠한 정보도 나온것이 없고, 패치버전 역시 나온것이 없으므로 각 리눅스 배포판역시 19일 이후에나 적용예정임