🇰🇷 한글 설명
openssl-encrypt pip 패키지 1.4.8 이하 버전에서 mTLS 클라이언트 개인키가 세계 읽기 가능(0644) 설정의 SharedPreferences 파일에 평문으로 저장되는 취약점이 발견되었습니다. 로컬 공격자는 파일 시스템 접근 권한을 통해 노출된 개인키를 탈취할 수 있습니다.
💡 쉬운 설명
보안이 중요한 개인 비밀키가 암호화되지 않은 채 누구나 읽을 수 있는 파일에 저장되어 있습니다. 컴퓨터를 사용하는 다른 사람이 이 파일을 열어 당신의 중요한 인증 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt (pip package openssl-encrypt) versions 1.4.8 and earlier store an mTLS client private key in cleartext within a world-readable (0644) SharedPreferences file via the desktop GUI's Settings screen 'combined certificate and private key' PEM field. A local attacker with file system access can read the exposed private key. Version 1.4.9 writes the PEM to a dedicated 0600 file, keeps only its path in SharedPreferences, and migrates/scrubs existing cleartext values.
📍 영향받는 시스템
openssl-encrypt pip package versions 1.4.8 and earlier
⚔️ 공격 벡터
로컬 파일 시스템 접근을 통한 SharedPreferences 내 평문 개인키 탈취
🛡️ 대응 방법
openssl-encrypt 패키지를 1.4.9 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Version이 1.4.8 이하이면 취약한 상태이며, 1.4.9 이상이면 안전합니다.
pip show openssl-encrypt 2>/dev/null | grep -E 'Version'