11월 1일 Releases 될 OpenSSL 취약점 정보

OpenSSL에서 11월 1일 Critical 취약점에 대한 패치를 진행할 예정이라고 발표했습니다.

Forthcoming OpenSSL Releases

 

해당 취약점에 대한 자세한 내용은 비공개되어 있어 정확하게 어떤 취약점인지는 알 수 없지만, OpenSSL에서 Critical 취약점을 아래와 같이 설명하고 있습니다.

취약점 등급	설명
Critical	해당 취약점은 일반적인 환경에서 발생할 수 있습니다. 원격에서 서버 메모리 내의 광범휘한 공개(잠재적으로 사용자 세부 정보 노출), 서버 개인 키 손상, 임의 명령어 실행 등이 가능한 취약점들이 보통 해당 등급으로 결정됩니다.

 

즉, 일반적인 환경에서 서버 메모리 내 정보를 획득하거나 개인 키를 획득 및 손상 시키거나 임의 명령어 실행이 가능한 취약점일 가능성이 높습니다.

 

그리고 해당 취약점이 Releases된 버전이 3.0.7이기 때문에 3.0.x 버전에서만 발생하는 취약점일 가능성이 높아보입니다.

※ 21년 9월 OpenSSL 3.0.0 출시 (약 1년 전)

※ 1.1.1 이하 버전의 경우 추후 공개되는 정보에 따라 영향도가 있을 수 있음

 

아래의 블로그에서 주요 Linux들의 OpenSSL 사용 버전을 확인할 수 있었는데, 해당 내용을 토대로 외부로 노출되는 서버 및 Instance를 중단 시키는 것을 고려해볼 필요성이 있어보입니다.

Linux Version	OpenSSL Version	취약 여부
CentOS Stream 9	3.0.1	O
Fedora 36	3.0.5	O
Fedora Rawhide	3.0.5	O
Kali 2022.3	3.0.5	O
Linux Mint 21 Vanessa	3.0.2	O
Mageia Cauldron	3.0.5	O
OpenMandriva 4.3	3.0.3	O
OpenMandriva Cooker	3.0.6	O
Redhat ES 9	3.0	O
Rocky Linux release 9.0 (Blue Onyx)	3.0.1	O
Ubuntu 22.04	3.0.2	O
CentOS Linux release 7.9	1.0.2	X
CentOS 8	1.1.1	X
Debian 11 (bullseye)	1.1.1	X
Eneavour 2022.09.10	1.1.1	X
Fedora 34	1.1.1	X
Fedora 35	1.1.1	X
Mageia 7	1.1.1	X
Mageia 8	1.1.1	X
OPNsense 22	1.1.1	X
OpenSuSE Leap 15.2	1.1.1	X
OpenSuSE Leap 15.3	1.1.1	X
OpenSuSE Leap 15.4	1.1.1	X
Proxmox 6	1.1.1	X
Slackware 14	1.0.1	X
Ubuntu 20.04	1.1.1	X

 

취약점 분석 내용

[CVE-2022-3602] OpenSSL punycode Decoding Vulnerability (off-by-one)

[CVE-2022-3786] OpenSSL punycode Decoding Vulnerability (Stack Buffer over Flow)

Reference

Upcoming Critical OpenSSL Vulnerability: What will be Affected? - SANS Internet Storm Center