🇰🇷 한글 설명
Python의 email 모듈이 @ 문자가 여러 개 포함된 이메일 주소를 잘못 파싱하는 취약점이 발견되었습니다. 이로 인해 From/To 헤더를 검사하는 애플리케이션이 차단되어야 할 이메일 주소를 허용하는 보안 우회 문제가 발생할 수 있습니다.
💡 쉬운 설명
이메일 주소에 @ 기호를 여러 개 넣으면 프로그램이 주소를 엉뚱하게 읽어버리는 문제입니다. 이를 이용해 공격자가 차단된 이메일 주소인 것처럼 속여서 메시지를 보낼 수 있습니다.
🇺🇸 원문 (English)
An issue was discovered in Python through 2.7.16, 3.x through 3.5.7, 3.6.x through 3.6.9, and 3.7.x through 3.7.4. The email module wrongly parses email addresses that contain multiple @ characters. An application that uses the email module and implements some kind of checks on the From/To headers of a message could be tricked into accepting an email address that should be denied. An attack may be the same as in CVE-2019-11340; however, this CVE applies to Python more generally.
📍 영향받는 시스템
Python 2.7.16 이하, 3.x ~ 3.5.7, 3.6.x ~ 3.6.9, 3.7.x ~ 3.7.4
⚔️ 공격 벡터
잘못 파싱되는 이메일 주소 형식을 사용하여 이메일 헤더 검증 로직을 우회하는 방식
🛡️ 대응 방법
Python을 최신 보안 패치가 적용된 버전(3.7.5 이상 등)으로 업데이트하십시오.
🔧 검증 코드
출력된 Python 버전이 취약한 범위(예: 3.7.4 이하)에 해당하는지 확인합니다.