🇰🇷 한글 설명
Apache Sling Commons Messaging Mail 1.0 버전의 SimpleMailService는 메일 서버 접속 시 서버 신원 확인 기능을 활성화하는 옵션이 누락되어 있습니다. 이로 인해 중간자 공격(MITM)에 노출될 위험이 있으며, 2.0 버전부터는 이 기능이 기본적으로 활성화되어 해결되었습니다.
💡 쉬운 설명
이메일을 보낼 때 상대방 서버가 진짜인지 확인하는 보안 기능이 꺼져 있는 상태입니다. 해커가 중간에서 이메일 내용을 가로채거나 조작할 위험이 있습니다.
🇺🇸 원문 (English)
Apache Sling Commons Messaging Mail provides a simple layer on top of JavaMail/Jakarta Mail for OSGi to send mails via SMTPS. To reduce the risk of "man in the middle" attacks additional server identity checks must be performed when accessing mail servers. For compatibility reasons these additional checks are disabled by default in JavaMail/Jakarta Mail. The SimpleMailService in Apache Sling Commons Messaging Mail 1.0 lacks an option to enable these checks for the shared mail session. A user could enable these checks nevertheless by accessing the session via the message created by SimpleMessageBuilder and setting the property mail.smtps.ssl.checkserveridentity to true. Apache Sling Commons Messaging Mail 2.0 adds support for enabling server identity checks and these checks are enabled by default. - https://javaee.github.io/javamail/docs/SSLNOTES.txt - https://javaee.github.io/javamail/docs/api/com/sun/mail/smtp/package-summary.html - https://github.com/eclipse-ee4j/mail/issues/429
📍 영향받는 시스템
Apache Sling Commons Messaging Mail 1.0
⚔️ 공격 벡터
중간자 공격(Man-in-the-Middle)을 통한 이메일 데이터 탈취 및 변조
🛡️ 대응 방법
Apache Sling Commons Messaging Mail을 2.0 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 라이브러리 버전이 1.0인지 확인하여 취약 여부를 판단합니다.
mvn dependency:list | grep 'org.apache.sling:sling-commons-messaging-mail'