🇰🇷 한글 설명
openssl_encrypt 1.4.0 미만 버전은 IntegrityProxyConfig의 trusted_proxies 설정에서 RFC 1918 사설 IP 대역 전체를 신뢰하는 보안 취약점을 가지고 있습니다. 이로 인해 사설 네트워크 내의 공격자가 클라이언트 인증서 헤더를 위조하여 mTLS 인증을 우회할 수 있습니다.
💡 쉬운 설명
내부 네트워크에 있는 공격자가 마치 인증된 사용자처럼 속여서 보안 검사를 통과할 수 있는 결함입니다. 신뢰할 수 있는 IP 범위를 너무 넓게 설정하여 발생하는 문제입니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.0 contain an insecure default configuration that trusts the entire RFC 1918 private address space in IntegrityProxyConfig trusted_proxies. Attackers on private networks can forge client certificate headers to bypass mTLS authentication when ProxyAuth validation is relaxed or modified.
📍 영향받는 시스템
openssl_encrypt versions < 1.4.0
⚔️ 공격 벡터
사설 네트워크 내에서 클라이언트 인증서 헤더를 위조하여 mTLS 인증 우회
🛡️ 대응 방법
openssl_encrypt를 1.4.0 이상의 버전으로 업데이트하거나 trusted_proxies 설정을 특정 IP로 제한
🔧 검증 코드
출력된 Version이 1.4.0 미만이면 취약한 상태입니다.
pip show openssl_encrypt 2>/dev/null | grep Version