🇰🇷 한글 설명
IBM Langflow OSS 1.0.0부터 1.10.3 버전에서 32자 미만의 사용자 비밀 정보를 사용하여 Fernet 암호화 키를 생성할 때 Python의 비암호학적 random 모듈을 사용합니다. 결정론적인 Mersenne Twister PRNG 특성으로 인해 동일한 시드에 대해 동일한 키가 생성될 수 있으며, 공격자가 암호화 키를 재현하여 저장된 API 키 및 인증 토큰을 복호화할 수 있습니다.
💡 쉬운 설명
암호화 키를 만들 때 예측 가능한 방식을 사용하여, 해커가 원래의 암호 키를 똑같이 만들어낼 수 있는 문제입니다. 이로 인해 안전하게 저장되어 있어야 할 비밀번호나 인증 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
IBM Langflow OSS 1.0.0 through 1.10.3, 1.0.0 through 1.10.3, 1.0.0 through 1.10.3, and 1.0.0 through 1.10.3 use Python's non-cryptographic random module for generating Fernet encryption keys from user secrets under 32 characters. The deterministic Mersenne Twister PRNG produces identical keys for identical seeds, allowing attackers to reproduce encryption keys and decrypt stored API keys and authentication tokens.
📍 영향받는 시스템
IBM Langflow OSS 1.0.0 ~ 1.10.3
⚔️ 공격 벡터
결정론적 난수 생성 알고리즘을 이용한 암호화 키 재현 및 복호화
🛡️ 대응 방법
암호학적으로 안전한 secrets 모듈을 사용하는 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.10.3 이하인지 확인하여 취약 여부를 판단합니다.
pip show langflow | grep Version