openssl5 [CVE-2022-3786] OpenSSL punycode Decoding Vulnerability (Stack Buffer over Flow) 영향 받는 대상 OpenSSL 3.0.x Version (3.0.0 ~ 3.0.6) 취약점 전제 조건 해당 취약점의 경우 CA가 취약한 인증서로 서명되었거나 유효한 인증서가 아님에도 불구하고 통신을 진행할 경우에만 발생 가능한 취약점 입니다. 즉, 일반적인 환경에서 발생할 수 있는 취약점은 아닙니다. 위와 같은 이유로 OpenSSL에서도 최초 취약점 등급이었던 Critical을 High로 다운그레이드 하였습니다. 취약점 분석 해당 취약점은 Punycode Domain의 인증서 확인 및 이름 제약 조건 검사 함수인 ossl_a2ulabel에서 발생하는 취약점으로 Stack Buffer over Flow가 가능합니다. 다만, 덮어씌울 수 있는 값은 0x2e(.)으로 한정되어 있습니다. ossl_a2ulabe.. 2022. 11. 3. [CVE-2022-3602] OpenSSL punycode Decoding Vulnerability (off-by-one) 영향 받는 대상 OpenSSL 3.0.x Version (3.0.0 ~ 3.0.6) 취약점 전제 조건 해당 취약점의 경우 CA가 취약한 인증서로 서명되었거나 유효한 인증서가 아님에도 불구하고 통신을 진행할 경우에만 발생 가능한 취약점 입니다. 즉, 일반적인 환경에서 발생할 수 있는 취약점은 아닙니다. 위와 같은 이유로 OpenSSL에서도 최초 취약점 등급이었던 Critical을 High로 다운그레이드 하였습니다. 취약점 분석 해당 취약점은 Punycode Domain의 디코딩에 사용되는 함수인 ossl_punycode_decode에서 발생하며, 4Byte의 Stack Buffer Over Flow가 가능합니다. ossl_punycode_decode에서 디코딩된 punycode의 길이를 검증하는 로직은 다.. 2022. 11. 2. 11월 1일 Releases 될 OpenSSL 취약점 정보 OpenSSL에서 11월 1일 Critical 취약점에 대한 패치를 진행할 예정이라고 발표했습니다. Forthcoming OpenSSL Releases mta.openssl.org 해당 취약점에 대한 자세한 내용은 비공개되어 있어 정확하게 어떤 취약점인지는 알 수 없지만, OpenSSL에서 Critical 취약점을 아래와 같이 설명하고 있습니다. 취약점 등급 설명 Critical 해당 취약점은 일반적인 환경에서 발생할 수 있습니다. 원격에서 서버 메모리 내의 광범휘한 공개(잠재적으로 사용자 세부 정보 노출), 서버 개인 키 손상, 임의 명령어 실행 등이 가능한 취약점들이 보통 해당 등급으로 결정됩니다. 즉, 일반적인 환경에서 서버 메모리 내 정보를 획득하거나 개인 키를 획득 및 손상 시키거나 임의 명령어.. 2022. 10. 30. Python을 통한 Simple HTTPS Server 구축 HTTPS Server를 구축하기 위해서는 인증서가 필요한데, 이 인증서는 openssl를 통하여 생성 가능합니다. $ openssl genrsa -out CA.key 2048 $ openssl req -x509 -new -nodes -key CA.key -days 3650 -out CA.pem $ openssl genrsa -out server.key 2048 $ openssl req -new -key server.key -out server.csr $ openssl x509 -req -in server.csr -CA CA.pem -CAkey CA.key -CAcreateserial -out server.crt -days 3650 Python Simple HTTPS Server Code import h.. 2022. 8. 22. Android 7 이상 Burp 인증서 설치 방법 Burp의 경우 기본적으로 20년 이상의 만료 기간을 가지고 있지만, Android 7부터는 최장 만료 기간이 39개월로 설정되면서 39개월보다 짧은 인증서를 임의로 생성해야 합니다. 임의의 사용자 인증서 생성 1. 360일 만료기간 및 RSA 암호화 알고리즘을 이용하여 server.key 개인키를 생성합니다. openssl req -x509 -days 360 -nodes -newkey rsa:2048 -outform der -keyout server.key -out ca.der 2. 개인키를 DER 파일로 변환합니다. openssl rsa -in server.key -inform pem -out server.key.der -outform der 3. server.ky.der 파일을 pkcs8 포맷으로 .. 2022. 2. 7. 이전 1 다음
