🇰🇷 한글 설명
openssl_encrypt 1.4.9 미만 버전에서 파일 메타데이터에 지정된 KDF 반복 횟수에 대한 시간 제한을 강제하지 못하는 취약점이 발견되었습니다. 공격자는 매우 높은 KDF 반복 횟수를 가진 파일을 제작하여 비밀번호 검증 전 CPU 자원을 무제한으로 소모하게 만들 수 있습니다.
💡 쉬운 설명
암호화된 파일을 열 때 비밀번호를 확인하기 전, 컴퓨터가 너무 많은 계산을 하도록 유도하여 시스템을 느리게 하거나 멈추게 만드는 공격입니다. 악의적으로 조작된 파일을 실행하는 것만으로도 컴퓨터 자원을 고갈시킬 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.9 fail to enforce a time ceiling on key derivation function iteration counts specified in file metadata. Attackers can craft files with extremely high KDF iteration counts to consume CPU resources for unbounded periods before password verification occurs.
📍 영향받는 시스템
openssl_encrypt 1.4.9 미만 모든 버전
⚔️ 공격 벡터
높은 KDF 반복 횟수가 설정된 악성 파일을 시스템에 전달하여 CPU 자원 고갈 유도
🛡️ 대응 방법
openssl_encrypt를 1.4.9 이상의 최신 버전으로 업데이트
🔧 검증 코드
명령어 결과에 1.4.9 미만의 버전 번호가 출력되면 취약한 버전이 설치된 것입니다.
openssl_encrypt --version 2>/dev/null | grep -E '1\.[0-4]\.'