🇰🇷 한글 설명
openssl_encrypt (pip) 1.4.7 이하 버전에서 진단 명령 실행 시 하드웨어 페퍼(pepper) 값이 표준 출력/에러로 노출되는 정보 노출 취약점이 발견되었습니다. 노출된 값은 테스트용 솔트에 기반하므로 실제 파일 복호화에는 사용될 수 없으나, 터미널 로그나 CI 로그에 남을 위험이 있습니다. 이 문제는 1.4.8 및 1.5.0 버전에서 헥스 덤프 제거 및 데이터 마스킹 처리를 통해 해결되었습니다.
💡 쉬운 설명
프로그램의 테스트 기능을 사용할 때 보안에 중요한 암호 키의 일부가 화면이나 로그 파일에 그대로 글자로 나타나는 문제입니다. 다행히 실제 데이터에는 영향을 주지 않는 테스트용 값이라 위험도는 낮지만, 기록이 남는 것이 문제입니다.
🇺🇸 원문 (English)
openssl_encrypt (pip) versions <= 1.4.7 contain an information exposure vulnerability where the 'hsm fido2-test' and 'hsm onlykey-test' diagnostic commands unconditionally print the full derived hardware pepper as hex to stdout/stderr (crypt_cli.py, handle_hsm_command). The printed value can persist in terminal scrollback, session recordings, or CI logs. Impact is limited because the pepper is derived from a random per-invocation test salt and is salt-bound, so the leaked value cannot be used to decrypt real files. A related plugin issue logged raw prf_data outside the secret-redaction path. Fixed in 1.4.8 (and 1.5.0) by removing the hex dumps and routing plugin debug output through the redaction layer.
📍 영향받는 시스템
openssl_encrypt (pip) versions <= 1.4.7
⚔️ 공격 벡터
진단 명령(hsm fido2-test 또는 hsm onlykey-test) 실행 시 발생하는 로그 및 터미널 출력물 탈취
🛡️ 대응 방법
openssl_encrypt 패키지를 1.4.8 또는 1.5.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 1.4.7 이하이면 취약한 상태이며, 1.4.8 또는 1.5.0 이상이면 안전합니다.
pip show openssl_encrypt | grep Version