CVE-2025-15468 in OpenSSL
요약
\~에 의해 VulDB • 2026. 05. 19.
이슈 요약: QUIC 프로토콜 클라이언트 또는 서버에서 SSL_CIPHER_find() 함수를 사용하는 애플리케이션이 피어로부터 알려지지 않은 암호화 스위트(cipher suite)를 수신하면 NULL 포인터 역참조(NULL dereference)가 발생합니다.
영향 요약: NULL 포인터 역참조는 실행 중인 프로세스의 비정상 종료를 초래하여 서비스 거부(Denial of Service)를 유발합니다.
일부 애플리케이션은 피어로부터 수신된 암호화 ID에 대해 클라이언트_hello_cb 콜백 내에서 SSL_CIPHER_find()를 호출합니다. QUIC 프로토콜을 구현하는 SSL 객체에서 이를 수행할 경우, 검사된 암호화 ID가 알려지지 않았거나 지원되지 않는 경우 NULL 포인터 역참조가 발생합니다.
QUIC 프로토콜을 사용하는 애플리케이션에서 이 함수를 호출하는 경우는 흔치 않으며, 최악의 경우 서비스 거부이므로 해당 이슈는 낮은 심각도(Low severity)로 평가되었습니다.
취약한 코드는 QUIC 프로토콜 지원이 추가된 버전 3.2에서 도입되었습니다.
3.6, 3.5, 3.4 및 3.3의 FIPS 모듈은 QUIC 구현이 OpenSSL FIPS 모듈 경계 밖에 위치하므로 이 이슈의 영향을 받지 않습니다.
OpenSSL 3.6, 3.5, 3.4 및 3.3은 이 이슈에 대해 취약합니다.
OpenSSL 3.0, 1.1.1 및 1.0.2는 이 이슈의 영향을 받지 않습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.