🇰🇷 한글 설명
openssl_encrypt 1.4.9 미만 버전에서 identity.json으로부터 신원을 로드할 때 지문(fingerprint)을 재유도 및 검증하지 못하는 결함이 있습니다. 이로 인해 공격자가 identity store 내의 공개키를 자신의 키로 교체하더라도 지문이 일치하는 것처럼 속일 수 있습니다. 결과적으로 암호화 과정에서 공격자의 키가 사용되거나 서명 검증이 조작될 수 있습니다.
💡 쉬운 설명
보안 인증서의 지문을 제대로 확인하지 못하는 허점이 발견되었습니다. 공격자가 가짜 열쇠를 진짜인 것처럼 속여서 데이터를 가로채거나 조작할 수 있는 위험한 상태입니다.
🇺🇸 원문 (English)
openssl_encrypt before 1.4.9 fails to re-derive and validate fingerprints when loading identities from identity.json, allowing attackers to substitute public keys in identity stores. Attackers can replace legitimate public keys with their own while maintaining the claimed fingerprint, enabling silent key substitution where encryption uses attacker keys and signature verification appears valid.
📍 영향받는 시스템
openssl_encrypt 1.4.9 미만 버전
⚔️ 공격 벡터
identity.json 파일 내의 공개키를 공격자의 키로 교체하여 지문 검증을 우회함
🛡️ 대응 방법
openssl_encrypt를 1.4.9 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 1.4.9 미만의 버전 번호가 출력되면 취약한 상태입니다.
openssl_encrypt --version 2>/dev/null | grep -E '1\.[0-4]\.[0-8]'