🇰🇷 한글 설명
openssl_encrypt 1.4.9 미만 버전에서 복호화 자동 감지 중 stderr로 출력되는 key_id 값이 이스케이프 처리되지 않는 취약점이 존재합니다. 공격자는 악의적인 이스케이프 시퀀스가 포함된 key_id를 가진 암호화 파일을 생성하여 터미널 출력을 조작하고 인증 확인 블록을 위조할 수 있습니다.
💡 쉬운 설명
암호화된 파일을 읽을 때 파일 안에 숨겨진 특수 문자가 컴퓨터 화면에 나타나 화면 내용을 가짜로 바꾸거나 속일 수 있는 문제입니다. 공격자가 화면에 보이는 정보를 조작하여 사용자가 잘못된 정보를 믿게 만들 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.9 fail to escape attacker-controlled key_id values printed to stderr during decrypt auto-detection. Attackers can craft encrypted files with malicious key_id containing escape sequences to repaint terminal output and forge authenticity verification blocks.
📍 영향받는 시스템
openssl_encrypt 1.4.9 미만 모든 버전
⚔️ 공격 벡터
악의적인 key_id 이스케이프 시퀀스가 포함된 암호화 파일을 실행하여 터미널 출력 조작
🛡️ 대응 방법
openssl_encrypt를 1.4.9 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 1.4.9 미만의 버전 번호가 출력되면 취약한 버전이 설치된 것입니다.
openssl_encrypt --version 2>/dev/null | grep -E '1\.[4-9]\.'