🇰🇷 한글 설명
c_rehash 스크립트가 쉘 메타문자를 적절히 정제하지 않아 명령 주입(Command Injection) 취약점이 발생합니다. 일부 운영체제에서 이 스크립트가 자동으로 실행되므로, 공격자가 스크립트 권한으로 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
특정 보안 도구가 파일을 처리할 때 파일 이름에 포함된 특수 문자를 제대로 걸러내지 못하는 문제입니다. 이를 통해 해커가 시스템에 몰래 명령어를 입력하여 컴퓨터를 조종할 수 있습니다.
🇺🇸 원문 (English)
The c_rehash script does not properly sanitise shell metacharacters to prevent command injection. This script is distributed by some operating systems in a manner where it is automatically executed. On such operating systems, an attacker could execute arbitrary commands with the privileges of the script. Use of the c_rehash script is considered obsolete and should be replaced by the OpenSSL rehash command line tool. Fixed in OpenSSL 3.0.3 (Affected 3.0.0,3.0.1,3.0.2). Fixed in OpenSSL 1.1.1o (Affected 1.1.1-1.1.1n). Fixed in OpenSSL 1.0.2ze (Affected 1.0.2-1.0.2zd).
📍 영향받는 시스템
OpenSSL 3.0.0-3.0.2, 1.1.1-1.1.1n, 1.0.2-1.0.2zd
⚔️ 공격 벡터
악의적으로 조작된 파일 이름을 생성하여 c_rehash 스크립트가 실행될 때 명령 주입을 유도함
🛡️ 대응 방법
OpenSSL을 최신 버전(3.0.3, 1.1.1o, 1.0.2ze 이상)으로 업데이트하거나 c_rehash 대신 OpenSSL rehash 도구를 사용함
🔧 검증 코드
출력된 버전이 취약한 버전 범위(3.0.0-3.0.2, 1.1.1-1.1.1n, 1.0.2-1.0.2zd)에 포함되는지 확인