🇰🇷 한글 설명
openssl_encrypt 1.4.9 미만 버전의 gpg_runner.verify_detached 함수에서 서명 검증 취약점이 발견되었습니다. 해당 함수가 REVKEYSIG, EXPKEYSIG 또는 GPG 종료 코드를 확인하지 않고 VALIDSIG 상태만 확인하기 때문에, 폐기되거나 만료된 키를 사용한 서명도 유효한 것으로 간주될 수 있습니다.
💡 쉬운 설명
프로그램이 서명의 유효성을 확인할 때, 이미 사용이 중지되었거나 유효 기간이 지난 열쇠를 사용해도 제대로 걸러내지 못하는 결함이 있습니다. 이를 통해 공격자가 가짜 파일을 정상적인 파일인 것처럼 속여 시스템에 실행시킬 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.9 contain a signature verification vulnerability in gpg_runner.verify_detached that accepts revoked and expired keys by only checking VALIDSIG status without inspecting REVKEYSIG, EXPKEYSIG, or gpg exit codes. Attackers holding compromised-then-revoked signing keys or expired project keys can bypass signature verification to execute malicious plugins in the host process.
📍 영향받는 시스템
openssl_encrypt versions before 1.4.9
⚔️ 공격 벡터
폐기된 서명 키 또는 만료된 프로젝트 키를 사용하여 악성 플러그인을 실행함으로써 서명 검증을 우회함
🛡️ 대응 방법
openssl_encrypt를 1.4.9 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 1.4.9 미만의 버전 번호가 출력되면 취약한 버전이 설치된 상태입니다.
openssl_encrypt --version 2>/dev/null | grep -E '1\.[0-4]\.[0-8]'