🇰🇷 한글 설명
PHP의 openssl_encrypt() 함수에서 AES-CCM 모드를 사용할 때 12바이트 IV를 입력하더라도 실제로는 처음 7바이트만 사용되는 취약점입니다. 이로 인해 암호화 보안 강도가 낮아지고 암호화 데이터가 올바르지 않게 생성될 수 있습니다.
💡 쉬운 설명
암호화할 때 사용하는 비밀번호와 같은 '초기값' 중 일부가 무시되어 보안이 약해지는 문제입니다. 이로 인해 암호화된 데이터가 제대로 만들어지지 않거나 해킹 위험이 높아질 수 있습니다.
🇺🇸 원문 (English)
In PHP versions 7.2.x below 7.2.34, 7.3.x below 7.3.23 and 7.4.x below 7.4.11, when AES-CCM mode is used with openssl_encrypt() function with 12 bytes IV, only first 7 bytes of the IV is actually used. This can lead to both decreased security and incorrect encryption data.
📍 영향받는 시스템
PHP 7.2.x < 7.2.34, 7.3.x < 7.3.23, 7.4.x < 7.4.11
⚔️ 공격 벡터
취약한 암호화 알고리즘(AES-CCM)과 특정 IV 길이를 사용하는 애플리케이션을 대상으로 한 암호 해독 공격
🛡️ 대응 방법
PHP를 취약점이 해결된 최신 버전(7.2.34, 7.3.23, 7.4.11 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 PHP 버전이 취약한 범위(7.2.34 미만, 7.3.23 미만, 7.4.11 미만)에 해당하는지 확인합니다.
php -v | grep -E 'PHP (7\.2\.[0-9]{1,2}|7\.3\.[0-9]{1,2}|7\.4\.[0-9]{1,2})'