🇰🇷 한글 설명
openssl_encrypt 1.4.0 미만 버전의 독립형 텔레메트리 서버 설정에 API 키 해싱용 기본 비밀 키가 하드코딩되어 있습니다. 공격자가 이 기본값을 알 경우 API 키 해시를 예측하거나 위조하여 텔레메트리 API 인증을 우회할 수 있습니다.
💡 쉬운 설명
프로그램 설정 파일에 비밀번호 역할을 하는 값이 미리 정해져 있어 누구나 알 수 있는 상태입니다. 이를 통해 해커가 가짜 인증 정보를 만들어 시스템에 몰래 접속할 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.0 contain a hardcoded default secret key in the standalone telemetry server configuration that is used for API key hashing. Attackers who know this default value can predict or forge API key hashes to compromise telemetry API authentication.
📍 영향받는 시스템
openssl_encrypt versions < 1.4.0
⚔️ 공격 벡터
하드코딩된 기본 비밀 키를 이용한 API 키 해시 예측 및 위조
🛡️ 대응 방법
openssl_encrypt 버전을 1.4.0 이상으로 업데이트하거나 기본 비밀 키를 변경하십시오.
🔧 검증 코드
출력된 버전이 1.4.0 미만이면 취약한 상태이며, 1.4.0 이상이면 안전합니다.
openssl_encrypt --version 2>/dev/null | grep -E '1\[\.\]4\.[0-9]+'