🇰🇷 한글 설명
openssl_encrypt 1.4.9 미만 버전에서 수입된 신원 문서의 이메일 필드에 대한 검증이 누락되어 ANSI 탈출 시퀀스 주입 공격이 가능합니다. 공격자는 이를 통해 사용자에게 표시되는 지문 검증 라인을 위조하여 키 교체 공격을 방어하는 대역 외 검증 메커니즘을 무력화할 수 있습니다.
💡 쉬운 설명
공격자가 특수 문자를 포함한 가짜 신원 정보를 보내 사용자의 화면에 보이는 보안 인증 정보를 조작할 수 있습니다. 이를 통해 사용자는 가짜 보안 정보를 진짜로 믿게 되어 해킹 위험에 노출될 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt before 1.4.9 fails to sanitize the email field of imported identity documents, allowing attackers to inject ANSI escape sequences that forge the fingerprint verification line displayed to users. Attackers can deliver a crafted identity bundle through normal contact-exchange flows or keyserver responses to manipulate terminal output and display a fraudulent fingerprint, bypassing the out-of-band verification mechanism that protects against key substitution attacks.
📍 영향받는 시스템
openssl_encrypt version < 1.4.9
⚔️ 공격 벡터
연락처 교환 또는 키 서버 응답을 통해 조작된 신원 번들 전달
🛡️ 대응 방법
openssl_encrypt를 1.4.9 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 1.4.9 이상인지 확인하여 취약 여부를 판단합니다.
openssl_encrypt --version 2>/dev/null | grep -E '1\[.4.9]' || echo 'version_not_found'