🇰🇷 한글 설명
openssl_encrypt 1.4.0 미만 버전의 PublicKeyBundle.from_dict() 함수에서 서명 검증 없이 신뢰할 수 없는 데이터로부터 키 번들을 생성하는 취약점이 발견되었습니다. 공격자는 서명 검증을 우회하여 공격자가 제어하는 공개 키로 데이터를 암호화함으로써 기밀 정보를 유출할 수 있습니다.
💡 쉬운 설명
검증되지 않은 가짜 열쇠를 사용하여 데이터를 암호화하게 만드는 보안 결함입니다. 이를 통해 해커가 가짜 열쇠로 데이터를 잠가서 정보를 가로챌 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.0 contain a vulnerability in PublicKeyBundle.from_dict() that creates key bundles from untrusted data without verifying signatures. Attackers can call from_dict() followed by to_identity() without signature verification to encrypt data using attacker-controlled public keys, leaking secrets.
📍 영향받는 시스템
openssl_encrypt versions before 1.4.0
⚔️ 공격 벡터
서명 검증이 없는 from_dict()와 to_identity() 함수를 호출하여 공격자가 제어하는 공개 키를 주입
🛡️ 대응 방법
openssl_encrypt 버전을 1.4.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.4.0 미만인지 확인하십시오.
pip show openssl_encrypt | grep Version