🇰🇷 한글 설명
openssl_encrypt 1.4.0 미만 버전의 pqc.py에서 인증 우회 취약점이 발견되었습니다. AES-GCM 복호화 실패 시 인증되지 않은 AES-CTR 모드로 자동 전환되는 결함으로 인해, 공격자가 암호문을 수정하여 무결성 검증을 우회하고 탐지 없이 비트 플리핑 공격을 수행할 수 있습니다.
💡 쉬운 설명
암호화된 데이터를 해커가 몰래 수정해도 시스템이 이를 알아채지 못하고 잘못된 데이터로 받아들이는 보안 구멍이 있습니다. 이로 인해 해커가 데이터 내용을 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.0 contain an authentication bypass vulnerability in pqc.py where AES-GCM decryption failures trigger fallback to unauthenticated AES-CTR mode. Attackers can modify ciphertext in transit to bypass integrity verification and perform bit-flipping attacks without detection.
📍 영향받는 시스템
openssl_encrypt versions < 1.4.0
⚔️ 공격 벡터
전송 중인 암호문을 수정하여 AES-GCM의 무결성 검증을 우회하고 AES-CTR 모드로 강제 전환 유도
🛡️ 대응 방법
openssl_encrypt를 1.4.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 Version 값이 1.4.0 미만이면 취약한 버전이 설치된 상태입니다.
pip show openssl_encrypt 2>/dev/null | grep -E 'Version'