🇰🇷 한글 설명
openssl_encrypt 1.4.9 미만 버전은 원격 페퍼 래핑 키를 생성할 때 솔트가 없는 HKDF-SHA256 또는 단순 SHA-256을 사용합니다. 이로 인해 모든 사용자와 파일에 대해 동일한 키가 생성되어, 공격자가 사전 계산된 테이블을 이용해 대규모로 오프라인 비밀번호를 무차별 대입할 수 있습니다.
💡 쉬운 설명
암호화 키를 만들 때 사용자마다 고유한 값을 섞지 않아, 해커가 미리 계산해둔 표를 이용해 여러 사람의 비밀번호를 한꺼번에 빠르게 알아낼 수 있는 취약점입니다. 암호화 방식이 너무 단순하여 보안성이 떨어지는 상태입니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.9 derive the remote-pepper wrap key using unsalted HKDF-SHA256 or bare SHA-256 of the password, allowing identical keys across all users and files. Attackers with access to wrapped pepper blobs can precompute a single dictionary table and perform fleet-wide offline password guessing at hardware speed to recover user passwords.
📍 영향받는 시스템
openssl_encrypt versions < 1.4.9
⚔️ 공격 벡터
래핑된 페퍼 블롭(wrapped pepper blobs)에 접근하여 사전 계산된 딕셔너리 테이블을 이용한 오프라인 무차별 대입 공격
🛡️ 대응 방법
openssl_encrypt를 1.4.9 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 1.4.9 미만의 버전이 출력되면 취약한 버전이 설치된 것입니다.
openssl_encrypt --version 2>/dev/null | grep -E '1\.[0-4]\.[0-8]'