🇰🇷 한글 설명
openssl_encrypt 1.4.0 미만 버전은 TOTP 무차별 대입 공격을 방지하기 위해 메모리 내 속도 제한 기능을 사용하지만, 이 정보가 워커 간에 공유되지 않으며 서버 재시작 시 초기화됩니다. 공격자는 여러 서버 인스턴스에 인증 시도를 분산하거나 서버 재시작 직후에 재시도함으로써 속도 제한 보호를 우회할 수 있습니다.
💡 쉬운 설명
로그인 시도 횟수를 제한하는 기능이 서버가 꺼지거나 여러 대의 서버로 나뉘어 있을 때 제대로 작동하지 않는 문제입니다. 이를 통해 해커가 비밀번호를 무작위로 계속 입력하여 맞출 때까지 시도할 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.0 use an in-memory rate limiter for TOTP brute-force protection that is not shared across workers and is lost on server restart. Attackers can distribute authentication attempts across multiple server instances or retry immediately after a restart to bypass rate limiting protections.
📍 영향받는 시스템
openssl_encrypt versions < 1.4.0
⚔️ 공격 벡터
분산된 서버 인스턴스를 이용한 인증 시도 분산 또는 서버 재시작 직후 공격 수행
🛡️ 대응 방법
openssl_encrypt 버전을 1.4.0 이상으로 업데이트
🔧 검증 코드
명령어 결과에 1.4.0 이상의 버전 정보가 출력되면 안전하며, 출력되지 않으면 취약할 수 있습니다.
openssl_encrypt --version 2>/dev/null | grep -E '1\[\.\]4\.'