🇰🇷 한글 설명
openssl_encrypt 1.4.9 미만 버전에서 키 유도 함수(KDF) 비용을 적절히 검증하지 못하는 취약점이 발견되었습니다. 공격자가 조작된 파일을 통해 과도한 KDF 파라미터를 전달하면, 인증 전 단계에서 메모리와 CPU 자원을 무제한으로 소모시켜 시스템을 중단시킬 수 있습니다.
💡 쉬운 설명
암호화 키를 만드는 과정에서 계산량을 조절하는 설정값이 너무 크게 설정되어도 이를 걸러내지 못하는 문제입니다. 나쁜 의도를 가진 파일이 들어오면 컴퓨터가 계산을 하느라 과부하가 걸려 멈춰버릴 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.9 fail to properly validate key derivation function costs in crafted files, allowing attackers to trigger unbounded memory and CPU exhaustion during pre-authentication processing. Attackers can supply malicious files with excessive KDF parameters to exhaust system resources and crash or wedge the process before password verification occurs.
📍 영향받는 시스템
openssl_encrypt 1.4.9 미만 모든 버전
⚔️ 공격 벡터
조작된 KDF 파라미터가 포함된 파일을 시스템에 전송하여 자원 고갈 유도
🛡️ 대응 방법
openssl_encrypt를 1.4.9 이상의 최신 버전으로 업데이트
🔧 검증 코드
명령어 결과에 1.4.9 미만의 버전 번호가 출력되면 취약한 버전이 설치된 상태입니다.
openssl_encrypt --version 2>/dev/null | grep -E '1\.[0-4]\.[0-8]'