🇰🇷 한글 설명
서버에서 OpenSSL을 사용할 수 없는 경우, 확장 프로그램이 TYPO3 시스템 정보를 암호화하지 않고 평문으로 전송합니다. 이 취약점을 악용하려면 공격자가 이미 SYSSY 프로젝트의 API 키를 제어하고 있어야 합니다.
💡 쉬운 설명
보안 프로그램이 작동하지 않을 때 중요한 시스템 정보가 암호화되지 않은 채로 노출될 수 있는 문제입니다. 다만, 공격자가 이미 특정 열쇠(API 키)를 가지고 있어야만 공격이 가능하다는 전제 조건이 있습니다.
🇺🇸 원문 (English)
When OpenSSL is unavailable on the server, the extension transmits TYPO3 system information in cleartext instead of encrypting it. Exploitation requires the attacker to already be in control of the SYSSY project's API key.
📍 영향받는 시스템
OpenSSL이 설치되지 않았거나 사용할 수 없는 환경의 TYPO3 및 관련 확장 프로그램
⚔️ 공격 벡터
SYSSY 프로젝트의 API 키를 탈취한 공격자가 네트워크 패킷 스니핑을 통해 평문 데이터를 가로채는 방식
🛡️ 대응 방법
서버에 OpenSSL을 설치하여 데이터 전송 시 암호화가 강제되도록 설정하거나 관련 확장 프로그램을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과가 'OpenSSL not found'로 나오면 암호화 미작동으로 인한 취약한 상태일 가능성이 높습니다.
openssl version 2>/dev/null || echo 'OpenSSL not found'