🇰🇷 한글 설명
openssl_encrypt 1.4.x 버전(1.4.9 미만)의 D-Bus 암호화 서비스에서 권한 검증 및 값 검증 부재로 인해 발생하는 취약점입니다. 로컬 사용자가 인증 없이 특정 속성을 조작하여 루트 데몬의 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
컴퓨터 내부의 암호화 기능을 관리하는 서비스에 보안 구멍이 있어, 권한이 없는 사용자가 설정을 마음대로 바꿀 수 있습니다. 이로 인해 시스템의 중요한 암호화 작업이 멈추거나 제대로 작동하지 않을 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt 1.4.x before 1.4.9 contains an optional D-Bus crypto service whose org.freedesktop.DBus.Properties.Set method performs neither a polkit authorization check nor value validation. Any local user on the system bus can call Set without authorization and set MaxConcurrentOperations (to 0/negative, causing the concurrency gate to refuse all subsequent operations, or to a huge value removing the limit) or the unbounded DefaultTimeout, resulting in a persistent denial of service of the root daemon. The D-Bus service exists only on the 1.4.x line and was removed in 1.5.x.
📍 영향받는 시스템
openssl_encrypt 1.4.x (1.4.9 미만 버전)
⚔️ 공격 벡터
시스템 버스에 접근 가능한 로컬 사용자가 D-Bus의 Set 메서드를 호출하여 설정값 조작
🛡️ 대응 방법
openssl_encrypt를 1.4.9 이상 버전으로 업데이트하거나, 1.5.x 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
명령어 결과에 1.4.0부터 1.4.8 사이의 버전이 출력되면 취약한 버전이 설치된 것입니다.
openssl_encrypt --version 2>/dev/null | grep -E '1.4\.[0-8]'