CVE-2017-14033: OpenSSL ASN1 디코드할 때 버퍼 언더런 취약점 발생

작성자: usa (2017-09-14)
번역자: wagurano

루비 표준 부가라이브러리 OpenSSL에 버퍼 언더런 취약점이 있습니다. 이 취약점은 CVE 아이디 CVE-2017-14033로 할당하였습니다.

세부 내용

OpenSSL::ASN1의 decode 메서드에 고의로 조작한 문자열을 넘기면, 버퍼 언더런이 발생하여 루비 인터프리터가 뻗어버릴 수 있습니다.

해당 버전을 사용하는 모든 사용자는 즉시 업그레이드를 하거나 아래 해결 방법으로 조치하기 바랍니다.

해당 버전

• 루비 2.2 버전대: 2.2.7 이하
• 루비 2.3 버전대: 2.3.4 이하
• 루비 2.4 버전대: 2.4.1 이하
• 리비전 56946 이전의 트렁크

해결 방법

OpenSSL 라이브러리는 젬으로도 배포합니다. 루비 버전을 올릴 수 없다면, 버전 2.0.0 이후 OpenSSL 젬을 설치합니다. 그러나 이 해결 방법은 루비 2.4 버전대에서만 유효합니다. 루비 2.2 / 2.3 버전대를 사용하는 경우, OpenSSL 젬 2.0.0 이후 버전을 사용하지 않습니다.

도움을 준 사람

이 사안을 보고한 asac에게 감사합니다.

수정 이력

• 2017-09-14 21:00:00 (KST) 최초 공개