🇰🇷 한글 설명
OpenSSL 1.4.9 미만 버전의 openssl_encrypt 함수에서 암호화 파일 메타데이터 및 키스토어 헤더의 KDF 비용 매개변수를 검증하지 못하는 취약점이 발견되었습니다. 공격자는 Argon2, scrypt 또는 balloon KDF 매개변수를 임의로 크게 설정한 악성 파일을 생성하여 시스템 메모리를 고갈시키고 프로세스를 중단시킬 수 있습니다.
💡 쉬운 설명
암호화된 파일을 읽을 때 설정값이 너무 크더라도 이를 확인하지 않아 발생하는 문제입니다. 나쁜 의도를 가진 파일이 시스템의 메모리를 모두 써버리게 만들어 컴퓨터를 멈추게 할 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt before 1.4.9 fails to validate KDF cost parameters in encrypted file metadata and keystore headers, allowing attackers to trigger unbounded memory allocation. Attackers can craft malicious encrypted files declaring arbitrarily large Argon2, scrypt, or balloon KDF parameters to exhaust system memory and crash the process without authentication.
📍 영향받는 시스템
OpenSSL versions prior to 1.4.9
⚔️ 공격 벡터
인증 없이 조작된 암호화 파일 또는 키스토어 헤더를 시스템에 전달
🛡️ 대응 방법
OpenSSL을 1.4.9 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 1.4.9 이상인지 확인하여 취약점 여부를 판단합니다.
openssl version | grep -E 'OpenSSL 1.4.9|OpenSSL 1.5'