🇰🇷 한글 설명
free-one-api 1.0.1 이하 버전에서 사용자 비밀번호를 백엔드로 전송하기 전에 MD5로 해싱합니다. MD5는 암호학적으로 깨진 알고리즘으로 충돌 공격에 취약하며 현대 하드웨어로 쉽게 역상 공격이 가능하여 사용자 자격증명이 노출될 수 있습니다.
💡 쉬운 설명
비밀번호를 오래되고 약한 MD5 암호화 방식으로 보호하고 있어서 해커가 쉽게 비밀번호를 찾아낼 수 있습니다. 현대적이고 안전한 해싱 알고리즘(예: bcrypt, Argon2)으로 변경해야 합니다.
🇺🇸 원문 (English)
free-one-api allows users to access large language model reverse engineering libraries through the standard OpenAI API format. In versions up to and including 1.0.1, MD5 is used to hash passwords before sending them to the backend. MD5 is a cryptographically broken hashing algorithm and is no longer considered secure for password storage or transmission. It is vulnerable to collision attacks and can be easily cracked using modern hardware, exposing user credentials to potential compromise. As of time of publication, a replacement for MD5 has not been committed to the free-one-api GitHub repository.
📍 영향받는 시스템
free-one-api 버전 1.0.1 이하
⚔️ 공격 벡터
MD5 해시 값을 인터셉트하거나 획득한 후 레인보우 테이블 또는 브루트포스 공격으로 원본 패스워드 복구
🛡️ 대응 방법
free-one-api를 최신 버전으로 업그레이드하거나, 취약점이 수정된 버전이 릴리스될 때까지 bcrypt/scrypt 등 안전한 해싱 알고리즘을 사용하도록 강제
🔧 검증 코드
명령어 결과에서 비밀번호 해싱 부분에 MD5 사용이 보이면 취약점 존재, 다른 해싱 알고리즘 사용이 보이면 패치됨
grep -r 'MD5\|md5' free-one-api/ --include='*.py' --include='*.js' | head -5