🇰🇷 한글 설명
openssl-encrypt 파이썬 패키지 1.4.8 이하 버전에서 스테가노그래피 비밀번호가 환경 변수가 아닌 명령줄 인자(--stego-password)로 전달되는 취약점이 발견되었습니다. 이로 인해 로컬 사용자가 /proc/<pid>/cmdline을 통해 실행 중인 프로세스의 비밀번호를 탈취할 수 있습니다.
💡 쉬운 설명
프로그램이 비밀번호를 처리할 때 보안이 취약한 방식으로 명령창에 직접 노출하는 문제가 있습니다. 컴퓨터를 사용하는 다른 사람이 이 과정을 훔쳐보고 비밀번호를 알아낼 수 있습니다.
🇺🇸 원문 (English)
In openssl_encrypt (pip package openssl-encrypt) versions <= 1.4.8, the desktop GUI passes the steganography password to the CLI child process on the command line via the --stego-password argument (on both encrypt and decrypt paths) instead of via an environment variable as done for the main password. Any local user can read the steganography password from /proc/<pid>/cmdline for the lifetime of the subprocess. Fixed in 1.4.9.
📍 영향받는 시스템
openssl-encrypt package versions <= 1.4.8
⚔️ 공격 벡터
로컬 사용자가 /proc/<pid>/cmdline 파일을 조회하여 실행 중인 프로세스의 명령줄 인자 탈취
🛡️ 대응 방법
openssl-encrypt 패키지를 1.4.9 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 1.4.8 이하이면 취약한 상태이며, 1.4.9 이상이면 안전합니다.
pip show openssl-encrypt | grep Version