🇰🇷 한글 설명
openssl_encrypt 1.4.0 미만 버전의 config.py 파일에 검증을 통과하는 하드코딩된 기본 JWT 서명 비밀키가 포함되어 있습니다. 소스 코드에 접근할 수 있는 공격자는 임의의 client_id로 유효한 JWT 토큰을 위조하여 키 서버 및 텔레메트리 API에 인증된 상태로 접근할 수 있습니다.
💡 쉬운 설명
프로그램 설정 파일에 암호화에 사용되는 비밀번호가 그대로 적혀 있어 보안에 취약합니다. 해커가 이 비밀번호를 알게 되면 가짜 신분증을 만들어 시스템에 마음대로 들어올 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.0 contain hardcoded default JWT signing secrets in config.py that pass validation checks. Attackers with access to source code can forge valid JWT tokens for any client_id to gain authenticated access to keyserver and telemetry APIs.
📍 영향받는 시스템
openssl_encrypt versions < 1.4.0
⚔️ 공격 벡터
소스 코드 내 하드코딩된 비밀키를 이용한 JWT 토큰 위조 및 API 인증 우회
🛡️ 대응 방법
openssl_encrypt 버전을 1.4.0 이상으로 업데이트하고 하드코딩된 비밀키를 제거하십시오.
🔧 검증 코드
출력된 버전이 1.4.0 미만이면 취약한 상태입니다.
pip show openssl_encrypt 2>/dev/null | grep Version