OpenSSL, DTLS 메모리 노출 취약점 수정…보안 업데이트 권고

OpenSSL 프로젝트가 29일 공개한 공식 보안 권고에 따르면, DTLS 핸드셰이크 메시지를 재전송하는 과정에서 힙 메모리 내용이 평문 핸드셰이크 데이터로 상대방에게 전달될 수 있는 취약점이 발견됐다. CVE-2026-84782로 추적되는 이 결함의 심각도는 '높음'이다. 버퍼 경계를 넘어 읽기가 진행되면 프로세스 충돌과 서비스 거부도 발생할 수 있다.

문제는 핸드셰이크 메시지 쓰기가 중간에 멈춘 동안 재전송 타이머가 작동할 때 나타난다. 재전송 로직이 중단된 쓰기 작업과 내부 버퍼의 위치 정보를 공유하면서, 이전 메시지의 시작 위치가 아닌 곳부터 데이터를 읽을 수 있다는 설명이다. OpenSSL은 재전송 시 읽기 위치를 초기화하고, 쓰기 작업이 중단된 상태에서는 재전송을 미루도록 수정했다.

공식 권고는 OpenSSL 4.0, 3.6, 3.5, 3.4, 3.0, 1.1.1, 1.0.2 계열을 영향 범위로 제시했다. 일반 지원 계열 사용자는 각각 4.0.3, 3.6.5, 3.5.9, 3.4.8 이상으로 업데이트해야 한다. 3.0·1.1.1·1.0.2 계열의 수정 버전은 프리미엄 지원 고객을 대상으로 안내됐다.

이번 결함은 DTLS를 사용하는 환경의 특정 재전송 경로에 관한 것으로, 모든 TLS 연결에서 곧바로 메모리가 노출된다는 뜻은 아니다. 권고에는 실제 악용 사례가 제시되지 않았다. 운영자는 사용 중인 OpenSSL 계열과 DTLS 사용 여부를 확인하고, 해당 계열의 수정 버전 적용을 검토할 필요가 있다.

출처: OpenSSL 프로젝트 공식 보안 권고 https://openssl-library.org/news/secadv/20260929.txt