🇰🇷 한글 설명
OTRS의 S/MIME 기능에서 OpenSSL RANDFILE 환경변수가 제대로 구성되지 않아, 암호화 작업의 엔트로피가 약해지고 이메일 메시지 복호화가 용이해지는 취약점입니다. 시딩 파일 쓰기 실패로 인한 약한 난수 생성이 원인입니다.
💡 쉬운 설명
OTRS 이메일 암호화 기능에서 난수 생성이 제대로 되지 않아서, 공격자가 암호화된 이메일을 더 쉽게 해독할 수 있습니다. 설정 누락으로 인한 약한 암호화가 문제입니다.
🇺🇸 원문 (English)
The S/MIME feature in Open Ticket Request System (OTRS) before 2.2.5, and 2.3.x before 2.3.0-beta1, does not properly configure the RANDFILE environment variable for OpenSSL, which might make it easier for remote attackers to decrypt e-mail messages that had lower than intended entropy available for cryptographic operations, related to inability to write to the seeding file.
📍 영향받는 시스템
OTRS 2.2.5 이전 버전, OTRS 2.3.x의 2.3.0-beta1 이전 버전
⚔️ 공격 벡터
원격 공격자가 약한 엔트로피로 인한 낮은 암호화 강도를 악용하여 S/MIME 암호화 메시지 복호화
🛡️ 대응 방법
OTRS를 2.2.5 이상 또는 2.3.0-beta1 이상으로 업그레이드하고, OpenSSL의 RANDFILE 환경변수를 올바르게 구성
🔧 검증 코드
설치된 OTRS 버전이 2.2.5 미만 또는 2.3.x 2.3.0-beta1 미만이면 취약함; 해당 버전 이상이면 패치됨
rpm -qa | grep otrs || dpkg -l | grep otrs