🇰🇷 한글 설명
openssl_encrypt 1.4.9 미만 버전에서 신뢰할 수 있는 플러그인을 식별할 때 사용하는 차단 목록(denylist) 방식의 취약점입니다. 공격자가 서명되지 않은 악성 플러그인을 특정 경로에 배치함으로써 서명 검증을 우회하고 CLI 프로세스 내에서 임의 코드를 실행하여 비밀번호와 암호화 키를 탈취할 수 있습니다.
💡 쉬운 설명
프로그램이 검증되지 않은 가짜 부품을 진짜로 착각하여 실행하는 보안 구멍이 발견되었습니다. 이를 통해 해커가 사용자의 비밀번호나 중요한 암호 키를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.9 use a denylist to identify trusted built-in plugins, allowing unsigned plugins in top-level plugins/ directories and unknown subdirectories to bypass signature verification. Attackers can place malicious unsigned plugins following documented installation paths to achieve arbitrary code execution in the CLI process with access to passwords and cryptographic keys.
📍 영향받는 시스템
openssl_encrypt versions < 1.4.9
⚔️ 공격 벡터
문서화된 설치 경로에 서명되지 않은 악성 플러그인을 배치하여 서명 검증 우회 및 코드 실행
🛡️ 대응 방법
openssl_encrypt를 1.4.9 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.4.9 미만인지 확인하십시오.
openssl_encrypt --version 2>/dev/null | grep -E 'version'