🇰🇷 한글 설명
openssl-encrypt 파이썬 패키지 1.4.8 이하 버전에서 'keyserver set-token' 명령 시 전달된 키서버 베어러 토큰이 디버그 로그에 마스킹되지 않고 노출되는 취약점이 발견되었습니다. sanitize_argv_for_debug 함수가 해당 토큰을 제대로 처리하지 못해 발생하며, 이로 인해 토큰이 stderr에 평문으로 출력되어 로그나 터미널 기록에 남을 수 있습니다.
💡 쉬운 설명
프로그램이 작동 과정을 기록하는 '디버그 모드'를 사용할 때, 보안을 위해 숨겨야 할 비밀번호(토큰)가 그대로 화면이나 기록에 노출되는 문제입니다. 이로 인해 로그 파일을 보는 사람이 사용자의 중요한 인증 정보를 훔쳐볼 위험이 있습니다.
🇺🇸 원문 (English)
openssl_encrypt (pip package openssl-encrypt) versions <= 1.4.8 do not redact the keyserver bearer token passed as the positional argument to 'keyserver set-token' in the --debug argv dump, because sanitize_argv_for_debug fails to sanitize it. As a result the token is printed in cleartext to stderr under --debug (even without --unsafe-show-secrets), persisting the credential in logs and terminal history. Fixed in 1.4.9.
📍 영향받는 시스템
openssl-encrypt pip package versions <= 1.4.8
⚔️ 공격 벡터
디버그 모드가 활성화된 상태에서 로그 파일이나 터미널 기록을 탈취하여 평문으로 노출된 토큰을 획득
🛡️ 대응 방법
openssl-encrypt 패키지를 1.4.9 버전 이상으로 업데이트
🔧 검증 코드
출력된 Version 값이 1.4.8 이하이면 취약한 버전이며, 1.4.9 이상이면 안전합니다.
pip show openssl-encrypt 2>/dev/null | grep -E 'Version'