🇰🇷 한글 설명
openssl_encrypt 1.4.0 미만 버전에서 jsonschema 라이브러리가 설치되어 있지 않을 경우 JSON 스키마 검증을 조용히 건너뛰는 취약점이 발견되었습니다. 공격자는 jsonschema 패키지를 제거하거나 알 수 없는 메타데이터 형식을 사용하여 모든 스키마 검사를 우회하고 악성 데이터를 처리하게 만들 수 있습니다.
💡 쉬운 설명
데이터가 올바른 형식인지 확인하는 검사기가 없으면 검사를 그냥 건너뛰어 버리는 문제입니다. 이로 인해 공격자가 조작된 데이터를 보내도 시스템이 아무런 의심 없이 받아들이게 됩니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.0 silently skip JSON schema validation when the jsonschema library is not installed, allowing malformed metadata to be accepted. Attackers can remove the jsonschema package or supply unknown metadata format versions to bypass all schema checks and process malicious data.
📍 영향받는 시스템
openssl_encrypt versions < 1.4.0
⚔️ 공격 벡터
jsonschema 라이브러리 제거 또는 비표준 메타데이터 형식을 이용한 스키마 검증 우회
🛡️ 대응 방법
openssl_encrypt를 1.4.0 이상 버전으로 업데이트하거나 jsonschema 라이브러리를 반드시 설치하십시오.
🔧 검증 코드
jsonschema 패키지가 설치되어 있는지 확인하고 openssl_encrypt의 버전을 체크하여 1.4.0 미만인지 확인합니다.
pip show jsonschema && openssl_encrypt --version | grep -E '1\[.4.0'