🇰🇷 한글 설명
SignXML의 X509 인증서 검증 비활성화 상태에서 HMAC 공유 비밀을 사용할 때, 4.0.4 이전 버전은 타이밍 공격에 취약합니다. 공격자가 HMAC 비교 과정의 응답 시간 차이를 분석하여 올바른 HMAC을 재구성할 수 있습니다.
💡 쉬운 설명
SignXML 프로그램의 암호 코드 검증 과정에서 비교 시간이 길어질수록 올바른 코드에 가까워지는 특성이 있습니다. 공격자는 응답 시간을 측정하여 올바른 암호를 천천히 추측할 수 있습니다.
🇺🇸 원문 (English)
SignXML is an implementation of the W3C XML Signature standard in Python. When verifying signatures with X509 certificate validation turned off and HMAC shared secret set (`signxml.XMLVerifier.verify(require_x509=False, hmac_key=...`), versions of SignXML prior to 4.0.4 are vulnerable to a potential timing attack. The verifier may leak information about the correct HMAC when comparing it with the user supplied hash, allowing users to reconstruct the correct HMAC for any data.
📍 영향받는 시스템
SignXML < 4.0.4
⚔️ 공격 벡터
HMAC 검증 시 응답 시간 차이(타이밍) 분석을 통한 정보 유출
🛡️ 대응 방법
SignXML을 4.0.4 이상으로 업그레이드
🔧 검증 코드
Version이 4.0.4 이상이면 안전하고, 4.0.4 미만이면 즉시 업그레이드 필요합니다.
pip show signxml | grep Version || pip3 show signxml | grep Version