🇰🇷 한글 설명
openssl_encrypt 1.4.9 미만 버전에서 IdentityStore 내의 본인 식별 정보와 연락처 간의 네임스페이스 충돌을 방지하지 못하는 취약점이 존재합니다. 공격자는 본인 식별 정보 뒤에 숨겨진 연락처 항목을 생성할 수 있으며, 해당 식별 정보가 삭제되면 숨겨졌던 연락처가 나타나 공격자의 키로 암호화된 파일을 조작할 수 있습니다.
💡 쉬운 설명
사용자의 정보와 연락처 이름이 겹칠 때 발생하는 보안 허점입니다. 공격자가 몰래 가짜 연락처를 심어두었다가, 나중에 사용자의 정보가 삭제되면 가짜 정보가 나타나 암호화된 파일을 가로챌 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt before 1.4.9 fails to prevent namespace collisions between own identities and contacts in IdentityStore, allowing attackers to create shadowed contact entries invisible until the corresponding own identity is deleted. When the own identity is deleted, the shadowed contact becomes visible and resolves to the attacker's keys, enabling silent key substitution for encrypted files.
📍 영향받는 시스템
openssl_encrypt version < 1.4.9
⚔️ 공격 벡터
IdentityStore 내 네임스페이스 충돌을 이용한 그림자 연락처(shadowed contact) 생성 및 키 치환
🛡️ 대응 방법
openssl_encrypt를 1.4.9 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 1.4.9 이상의 버전이 표시되지 않거나 'version_not_found'가 뜨면 취약한 버전일 가능성이 높습니다.
openssl_encrypt --version 2>/dev/null | grep -E '1\[.4.9' || echo 'version_not_found'