🇰🇷 한글 설명
openssl_encrypt 1.4.9 미만 버전에서 파일 메타데이터에 포함된 양자 내성 암호(PQC) 개인키의 암호화 상태를 검증하지 못하는 취약점이 발견되었습니다. 공격자는 암호화되지 않은 PQC 키를 포함한 파일을 제작하여 인증을 우회하고, 위조된 무결성 검증을 통해 공격자가 의도한 평문을 생성할 수 있습니다.
💡 쉬운 설명
파일 안에 숨겨진 중요한 암호 키가 제대로 잠겨 있는지 확인하지 못하는 보안 결함입니다. 이를 통해 해커는 비밀번호를 몰라도 가짜 파일을 진짜처럼 속여서 시스템을 속일 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.9 fail to validate encryption status of embedded post-quantum private keys in file metadata. Attackers can craft files with unencrypted embedded PQC keys that decrypt under any password, bypassing authentication and producing attacker-chosen plaintext with false integrity verification.
📍 영향받는 시스템
openssl_encrypt versions < 1.4.9
⚔️ 공격 벡터
암호화되지 않은 PQC 키가 포함된 조작된 파일을 통해 인증 우회 및 데이터 위조
🛡️ 대응 방법
openssl_encrypt를 1.4.9 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 1.4.9 미만이면 취약한 상태이며, 1.4.9 이상이어야 안전합니다.
openssl_encrypt --version 2>/dev/null | grep -E '1\[.4.9]' || echo 'Version not found'