🇰🇷 한글 설명
openssl_encrypt 1.4.9 미만 버전에서 envelope-format 암호화 파일의 recovery-slot 존재 여부를 인증하지 못하는 취약점이 발견되었습니다. 공격자는 페이로드를 재암호화하지 않고도 파일 헤더를 수정하여 복구 슬롯을 삭제함으로써 인증을 우회할 수 있습니다. 이를 통해 소유자가 의도적으로 추가한 복구 경로를 몰래 제거할 수 있습니다.
💡 쉬운 설명
암호화된 파일의 복구용 열쇠 정보를 공격자가 몰래 지워버릴 수 있는 문제입니다. 파일의 내용을 바꾸지 않고도 복구 기능을 무력화할 수 있어 데이터 복구가 어려워질 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.9 fail to authenticate recovery-slot presence in envelope-format encrypted files, allowing attackers to remove recovery slots without re-encrypting the payload. Attackers can modify the file header to delete recovery-slot fields and bypass authentication, silently removing recovery paths the owner deliberately added.
📍 영향받는 시스템
openssl_encrypt versions before 1.4.9
⚔️ 공격 벡터
암호화된 파일의 헤더를 수정하여 recovery-slot 필드를 삭제하는 방식
🛡️ 대응 방법
openssl_encrypt를 1.4.9 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.4.9 이상인지 확인하고, 그렇지 않다면 취약한 상태입니다.
openssl_encrypt --version 2>/dev/null | grep -E '1\[.4.9]' || echo 'Version not found or below 1.4.9'