• 02.514.7786
  • ucert@ucert.co.kr
제목 [중요] OpenSSL 긴급 보안업데이트 공지드립니다.
구분 공지
내용

안녕하세요,
한국기업보안 유서트입니다.

OpenSSL 긴급 보안업데이트 공지드립니다.

□ 개요
o 3월 1일(현지시간) 오픈SSL은 SSLv2 규격(Protocol)에 대한 긴급 업데이트 발표[1]
o SSL 취약점을 이용한 신종 공격 방식인 DROWN, CacheBleed에 대한 보안 업데이트 등
- DROWN(Decrypting RSA with Obsolete and Weakened eNcryption)
- CacheBleed: 인텔 프로세서의 Cache-bank 충돌로 인한 정보 노출을 이용한 부채널 공격

□ 영향 받는 사용자
- OpenSSL 1.0.2 사용자: 1.0.2g로 업데이트
- OpenSSL 1.0.1 사용자: 1.0.1s로 업데이트

□ 업데이트 내용
o SSLv2 프로토콜 비활성화 기본 설정 및 SSLv2 EXPORT 암호화 제거 등

□ 취약점 내용 및 권고 사항
o DROWN: 낡고 취약한 암호화를 통한 RSA 복호화
- RSA(Rivest Shamir Adleman): 공개키 암호화 알고리즘의 하나
CVEs 심각도 내용 비고
CVE-2016-0800 높음 SSLv2를 이용한 TLS에 대한 프로토콜 간 공격 DROWN
CVE-2016-0705 낮음 DFB, 발생 빈도 낮음 
CVE-2016-0798 낮음 SRP 데이터베이스에서의 메모리 누수 
CVE-2016-0797 낮음 널 포인터 역참조 및 힙 커럽션 
CVE-2016-0799 낮음 고정 메모리 이슈 
CVE-2016-0702 낮음 부채널 공격 CacheBleed
CVE-2016-0703 높음 분할 정복 알고리즘  
CVE-2016-0704 보통 Bleichenbacher 공격 

감사합니다.

유서트 SNS