1. 개요
OpenSSL bug 관련 보고가 있습니다.
- 영향받는 버전 : 1.0.1f, 1.0.1e, 1.0.1d, 1.0.1c, 1.0.1b, 1.0.1a, 1.0.1
- 수정 버전 : 1.0.1g
이번 버그는 HeartBeat 기능 관련된 취약점입니다. RFC 6520 Section 4 에 따라 클라이언트는 payload와 payload length를 보내게 되는데, 서버에서 받은 실제 payload의 길이와 payload length가 다른 경우 메세지를 무시하게 됩니다.
그런데 OpenSSL이 이 RFC 6520 규격을 지키지 않았습니다. 즉, 위 조건을 수행하지 않고 memcpy를 수행하여 클라이언트가 서버의 heap 영역 내에서 무작위로 64kB 데이터를 읽어들이게 됩니다. 이로 인하여 유저 데이터 및 X.509 인증서의 비밀키까지 탈취할 수 있게 되었습니다.
OpenSSL 버전은 다음과 같이 확인하시기 바랍니다.
$ openssl version $ openssl version -a
내용 추가 확인 후 업데이트 하겠습니다.
