🇰🇷 한글 설명
OpenSSL을 사용하는 msmtp 1.4.19 이전 버전에서 X.509 인증서의 Subject Common Name 또는 Subject Alternative Name 필드의 널 문자를 제대로 처리하지 못합니다. 공격자가 정상 인증 기관에서 발급한 위조 인증서로 임의의 SSL 서버를 스푸핑할 수 있습니다.
💡 쉬운 설명
msmtp 이메일 클라이언트가 가짜 인증서를 진짜로 착각하는 보안 결함입니다. 공격자가 네트워크 중간에 개입하여 사용자의 이메일 통신을 가로챌 수 있습니다.
🇺🇸 원문 (English)
Martin Lambers msmtp before 1.4.19, when OpenSSL is used, does not properly handle a '\0' character in a domain name in the (1) subject's Common Name or (2) Subject Alternative Name field of an X.509 certificate, which allows man-in-the-middle attackers to spoof arbitrary SSL servers via a crafted certificate issued by a legitimate Certification Authority, a related issue to CVE-2009-2408.
📍 영향받는 시스템
msmtp < 1.4.19 (OpenSSL 사용)
⚔️ 공격 벡터
정상 인증 기관 발급 위조 인증서를 이용한 중간자(MITM) 공격
🛡️ 대응 방법
msmtp를 1.4.19 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 1.4.19 이상이면 안전, 미만이면 즉시 업그레이드 필요
msmtp --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'