🇰🇷 한글 설명
Apache Commons Email 라이브러리에서 Bounce Address에 검증되지 않은 입력값이 포함될 경우 발생합니다. 입력값에 줄바꿈 문자가 포함되면 이메일 수신자나 본문 등 이메일 상세 정보가 조작될 수 있습니다.
💡 쉬운 설명
이메일을 보낼 때 주소 칸에 몰래 줄바꿈을 넣어 이메일 내용을 마음대로 바꾸는 공격입니다. 공격자가 이메일의 받는 사람이나 내용을 가짜로 조작할 수 있습니다.
🇺🇸 원문 (English)
If a user of Apache Commons Email (typically an application programmer) passes unvalidated input as the so-called "Bounce Address", and that input contains line-breaks, then the email details (recipients, contents, etc.) might be manipulated. Mitigation: Users should upgrade to Commons-Email 1.5. You can mitigate this vulnerability for older versions of Commons Email by stripping line-breaks from data, that will be passed to Email.setBounceAddress(String).
📍 영향받는 시스템
Apache Commons Email 1.5 미만 버전
⚔️ 공격 벡터
Bounce Address 입력값에 줄바꿈 문자(
,
)를 삽입하여 이메일 헤더를 조작하는 방식
🛡️ 대응 방법
Apache Commons Email을 1.5 버전 이상으로 업그레이드하거나, 입력값에서 줄바꿈 문자를 제거합니다.
🔧 검증 코드
검색된 jar 파일의 버전이 1.5 미만인지 확인합니다.
find / -name "commons-email*.jar" 2>/dev/null