🇰🇷 한글 설명
openssl-encrypt 파이썬 패키지의 1.4.8 이하 버전에서 설정 파일 경로를 사용자 홈 디렉토리가 아닌 현재 작업 디렉토리(CWD) 기준으로 참조하는 취약점이 발견되었습니다. 공격자가 악성 설정 파일을 특정 디렉토리에 배치할 경우, 암호화 시 사용되는 KDF(키 유도 함수) 설정을 약화시켜 암호문을 오프라인 무차별 대입 공격에 취약하게 만들 수 있습니다.
💡 쉬운 설명
프로그램이 보안 설정 파일을 찾는 위치가 잘못되어, 공격자가 가짜 설정 파일을 미리 준비해두면 암호화 강도를 매우 낮게 조작할 수 있습니다. 이렇게 약해진 암호는 해커가 훨씬 쉽게 풀어낼 수 있게 됩니다.
🇺🇸 원문 (English)
openssl_encrypt (pip package openssl-encrypt) versions <= 1.4.8 contain a CWD-relative configuration file resolution flaw in crypt_settings.py, where CONFIG_FILE (originally the absolute per-user path ~/.crypt_settings.json) is reassigned at line 84 to the bare relative name 'crypt_settings.json'. As a result, the legacy Tk GUI's SettingsTab reads and writes KDF settings from crypt_settings.json in the process launch (current working) directory instead of the user's home directory. An attacker who plants a malicious crypt_settings.json (e.g. sha256:1 with all memory-hard KDFs disabled) can silently downgrade encryption performed in that GUI session to roughly one hash round, bypassing the weak-KDF preflight and enabling offline brute-force attacks against the resulting ciphertext. Fixed in 1.4.9.
📍 영향받는 시스템
openssl-encrypt pip package versions <= 1.4.8
⚔️ 공격 벡터
사용자가 특정 디렉토리에서 프로그램을 실행할 때, 해당 디렉토리에 미리 조작된 crypt_settings.json 파일을 배치하여 공격
🛡️ 대응 방법
openssl-encrypt 패키지를 1.4.9 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 1.4.8 이하이면 취약한 상태이며, 1.4.9 이상이면 안전합니다.
pip show openssl-encrypt 2>/dev/null | grep Version