🇰🇷 한글 설명
phpseclib 라이브러리의 AES CBC 모드에서 발생하는 패딩 오라클 타이밍 공격 취약점입니다. 암호화된 데이터의 응답 시간을 분석하여 암호화 패딩 정보를 추출할 수 있습니다. 버전 1.0.27, 2.0.52, 3.0.50 이상으로 업데이트하면 해결됩니다.
💡 쉬운 설명
phpseclib 암호화 라이브러리의 암호 복호화 속도 차이를 이용해 암호를 추측하는 공격이 가능합니다. 이 라이브러리를 사용하는 애플리케이션의 암호화된 민감 데이터가 노출될 수 있습니다.
🇺🇸 원문 (English)
phpseclib is a PHP secure communications library. Projects using versions 0.1.1 through 1.0.26, 2.0.0 through 2.0.51, and 3.0.0 through 3.0.49 are vulnerable to a to padding oracle timing attack when using AES in CBC mode. This issue has been fixed in versions 1.0.27, 2.0.52 and 3.0.50.
📍 영향받는 시스템
phpseclib 0.1.1~1.0.26, 2.0.0~2.0.51, 3.0.0~3.0.49
⚔️ 공격 벡터
암호 복호화 응답 시간 측정을 통한 패딩 오라클 타이밍 공격으로 AES CBC 모드 암호 복구
🛡️ 대응 방법
phpseclib를 1.0.27, 2.0.52 또는 3.0.50 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 1.0.27, 2.0.52, 3.0.50 이상이면 취약점이 패치된 상태입니다.
composer show phpseclib/phpseclib 2>/dev/null | grep -i version