🇰🇷 한글 설명
openssl-encrypt 1.4.8 이하 버전의 enroll_trust_key 함수에서 접미사 허용 방식의 지문 매칭 취약점이 발견되었습니다. 공격자는 위조 가능한 짧은 GPG 키 ID를 사용하여 신뢰할 수 있는 앵커로 등록될 수 있으며, 이를 통해 악성 플러그인에 유효한 서명을 부여할 수 있습니다.
💡 쉬운 설명
보안 키를 등록할 때 전체 이름이 아닌 일부분만 확인하는 허점을 이용한 공격입니다. 공격자가 가짜 키를 진짜처럼 등록하여 악성 프로그램을 안전한 프로그램인 것처럼 속일 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt (pip: openssl-encrypt) versions <= 1.4.8 use suffix-tolerant fingerprint matching in enroll_trust_key when binding a plugin-signing trust anchor. An operator who confirms a short (forgeable, ~32-bit) GPG key id could unknowingly enroll an attacker's colliding key as a trusted anchor, which then vouches for malicious plugins under the ENFORCE signature policy. Version 1.4.9 fixes this by requiring the confirmed value to exactly match the full primary-key fingerprint (case-insensitive, whitespace-stripped).
📍 영향받는 시스템
openssl-encrypt pip 패키지 버전 1.4.8 이하
⚔️ 공격 벡터
위조 가능한 짧은 GPG 키 ID를 이용한 신뢰 앵커 충돌 공격
🛡️ 대응 방법
openssl-encrypt 패키지를 1.4.9 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 1.4.8 이하이면 취약하며, 1.4.9 이상이면 안전합니다.
pip show openssl-encrypt | grep Version