🇰🇷 한글 설명
openssl_encrypt(pip: openssl-encrypt) 1.4.8 및 이전 버전에서 FLAC 파일의 36비트 STREAMINFO total_samples 필드를 검증하지 않아 메모리 할당 오류가 발생합니다. 조작된 FLAC 파일을 사용하여 대규모 메모리 할당을 유도함으로써 'decrypt --stego-extract' 실행 중 메모리 부족으로 인한 서비스 거부(DoS)를 일으킬 수 있습니다.
💡 쉬운 설명
특수하게 제작된 음악 파일(FLAC)을 프로그램으로 읽을 때, 컴퓨터의 메모리를 과도하게 사용하게 만들어 시스템을 멈추게 할 수 있는 취약점입니다. 공격자가 아주 작은 파일로도 컴퓨터의 메모리를 가득 채워 서비스를 중단시킬 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt (pip: openssl-encrypt) versions 1.4.8 and earlier fail to validate the 36-bit STREAMINFO total_samples field of FLAC files before using it to size an allocation (np.random.randint(size=(total_samples, channels))). A ~50-byte crafted FLAC file declaring ~100 million samples causes a multi-gigabyte memory allocation, leading to out-of-memory denial of service during 'decrypt --stego-extract'. The issue is fixed in 1.4.9; both the 1.4.x and 1.5.x lines are affected.
📍 영향받는 시스템
openssl-encrypt (pip) 1.4.8 및 그 이전 버전 (1.5.x 포함)
⚔️ 공격 벡터
조작된 total_samples 필드가 포함된 FLAC 파일을 'decrypt --stego-extract' 명령어로 처리하도록 유도
🛡️ 대응 방법
openssl-encrypt 패키지를 1.4.9 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 1.4.8 이하인지 확인하여 취약 여부를 판단합니다.
pip show openssl-encrypt | grep Version