🇰🇷 한글 설명
Postfix Admin 2.3.5 이전 버전에서 pw 매개변수와 backup.php를 통한 SQL 주입 취약점이 발견되었으며, 원격 인증 사용자가 데이터베이스에 임의의 SQL 명령을 실행할 수 있습니다.
💡 쉬운 설명
Postfix Admin 메일 관리 도구에서 인증된 사용자가 데이터베이스를 조작할 수 있는 보안 결함이 있습니다. 버전 2.3.5 이상으로 업데이트하면 문제가 해결됩니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in Postfix Admin (aka postfixadmin) before 2.3.5 allow remote authenticated users to execute arbitrary SQL commands via (1) the pw parameter to the pacrypt function, when mysql_encrypt is configured, or (2) unspecified vectors that are used in backup files generated by backup.php.
📍 영향받는 시스템
Postfix Admin < 2.3.5 (mysql_encrypt 설정 또는 backup.php)
⚔️ 공격 벡터
인증된 사용자가 pw 매개변수나 백업 파일에 악의적 SQL 코드 삽입
🛡️ 대응 방법
Postfix Admin을 버전 2.3.5 이상으로 업데이트
🔧 검증 코드
2.3.5 미만의 버전이 나타나면 취약, 그 외 경우나 미설치 상태는 안전
dpkg -l postfixadmin 2>/dev/null | grep -E '2\.[0-2]\.|2\.3\.[0-4]' && echo 'vulnerable' || echo 'patched'