🇰🇷 한글 설명
openssl_encrypt 1.4.0 미만 버전의 DangerousPatternVisitor AST 분석기에서 dunder 속성 탐색 기법을 탐지하지 못하는 샌드박스 탈출 취약점이 발견되었습니다. 공격자는 __class__, __subclasses__() 등의 체인을 사용하여 제한된 함수에 접근하고 플러그인 코드에서 임의의 시스템 명령을 실행할 수 있습니다.
💡 쉬운 설명
프로그램의 보안 울타리를 우회하여 해커가 컴퓨터에 마음대로 명령을 내릴 수 있는 결함입니다. 특수한 코드를 이용해 보안 검사를 통과한 뒤 시스템 권한을 탈취할 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.0 contain a sandbox escape vulnerability in the DangerousPatternVisitor AST analyzer that fails to detect dunder attribute traversal techniques. Attackers can use __class__, __bases__, __subclasses__(), and __globals__ chains to access restricted functions and execute arbitrary system commands from plugin code.
📍 영향받는 시스템
openssl_encrypt versions before 1.4.0
⚔️ 공격 벡터
플러그인 코드 내에서 dunder attribute traversal 기법을 이용한 샌드박스 탈출 및 임의 명령 실행
🛡️ 대응 방법
openssl_encrypt를 1.4.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.4.0 미만인 경우 해당 취약점에 노출된 상태입니다.
pip show openssl_encrypt 2>/dev/null | grep Version