CVE-2024-2511 in OpenSSL
요약
\~에 의해 VulDB • 2026. 08. 04.
이슈 요약: 일부 기본값이 아닌 TLS 서버 구성은 TLSv1.3 세션을 처리하는 동안 무제한 메모리 증가를 유발할 수 있습니다.
영향 요약: 공격자가 특정 서버 구성을 악용하여 서비스 거부(Denial of Service)로 이어지는 무제한 메모리 증가를 트리거할 수 있습니다.
이 문제는 SSL_OP_NO_TICKET 옵션(기본값 아님)이 사용되고 있지만 early_data 지원도 구성되어 있고 기본 재플레이 방지 보호가 사용되는 경우 TLSv1.3에서 발생할 수 있습니다. 이 경우 특정 조건 하에 세션 캐시가 잘못된 상태가 되어 채워짐에 따라 제대로 플러시되지 않습니다. 세션 캐시는 무제한 방식으로 계속 증가합니다. 악의적인 클라이언트는 서비스 거부를 강제로 발생시키기 위해 이러한 실패 상황을 의도적으로 만들 수 있습니다. 또한 정상 작동 중 우연히 발생할 수도 있습니다.
이 이슈는 TLSv1.3을 지원하는 TLS 서버에만 영향을 미칩니다. TLS 클라이언트에는 영향을 주지 않습니다.
OpenSSL 3.2, 3.1 및 3.0의 FIPS 모듈은 이 이슈에 의해 영향받지 않습니다. OpenSSL 1.0.2 또한 이 이슈에 의해 영향받지 않습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.