🇰🇷 한글 설명
openssl_encrypt 1.4.9 미만 버전의 info 명령에서 재구성된 CLI 블록 내에 신뢰할 수 없는 메타데이터 필드가 따옴표 없이 삽입되는 쉘 주입 취약점이 존재합니다. 공격자는 pepper_name과 같은 메타데이터 값에 쉘 명령어를 포함시켜, 사용자가 출력된 CLI 블록을 터미널에 복사하여 실행할 때 악성 명령이 실행되도록 유도할 수 있습니다.
💡 쉬운 설명
프로그램이 보여주는 명령어를 그대로 복사해서 붙여넣을 때, 숨겨진 악성 명령어가 함께 실행될 수 있는 위험이 있습니다. 공격자가 조작한 데이터가 포함된 명령어를 사용자가 무심코 실행하면 컴퓨터가 해킹될 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.9 contain a shell injection vulnerability in the info command's reconstructed CLI block that interpolates untrusted metadata fields without quoting. Attackers can craft metadata values like pepper_name containing shell commands that execute when users copy the printed CLI block into a shell.
📍 영향받는 시스템
openssl_encrypt 1.4.9 미만 모든 버전
⚔️ 공격 벡터
사용자가 조작된 메타데이터가 포함된 CLI 출력문을 복사하여 터미널에 붙여넣는 사회공학적 공격
🛡️ 대응 방법
openssl_encrypt를 1.4.9 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 1.4.x 버전이 출력되면 취약한 버전이 설치되어 있는 상태입니다.
openssl_encrypt --version 2>/dev/null | grep -E '1\[\.\]4\.[0-9]'