🇰🇷 한글 설명
Apache Airflow의 SMTP 및 IMAP 프로바이더와 Airflow 코어에서 OpenSSL 인증서 검증이 누락되는 취약점이 발견되었습니다. 기본 SSL 컨텍스트가 서버의 X.509 인증서를 확인하지 않고 모든 인증서를 수락하여, 중간자 공격(MITM) 시 메일 서버 자격 증명이나 메일 내용이 노출될 수 있습니다.
💡 쉬운 설명
메일 서버와 연결할 때 상대방이 진짜인지 확인하는 과정이 빠져 있는 상태입니다. 이로 인해 해커가 중간에서 통신을 가로채 메일 비밀번호나 내용을 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Apache Airflow SMTP Provider before 1.3.0, Apache Airflow IMAP Provider before 3.3.0, and Apache Airflow before 2.7.0 are affected by the Validation of OpenSSL Certificate vulnerability.
The default SSL context with SSL library did not check a server's X.509 certificate. Instead, the code accepted any certificate, which could result in the disclosure of mail server credentials or mail contents when the client connects to an attacker in a MITM position.
Users are strongly advised to upgrade to Apache Airflow version 2.7.0 or newer, Apache Airflow IMAP Provider version 3.3.0 or newer, and Apache Airflow SMTP Provider version 1.3.0 or newer to mitigate the risk associated with this vulnerability
📍 영향받는 시스템
Apache Airflow < 2.7.0, Apache Airflow SMTP Provider < 1.3.0, Apache Airflow IMAP Provider < 3.3.0
⚔️ 공격 벡터
중간자 공격(Man-in-the-Middle)을 통해 인증서 검증 없이 연결을 가로채 데이터 탈취
🛡️ 대응 방법
Apache Airflow 2.7.0 이상, SMTP Provider 1.3.0 이상, IMAP Provider 3.3.0 이상으로 업그레이드
🔧 검증 코드
출력된 버전 정보가 취약한 버전(Airflow 2.7.0 미만, SMTP 1.3.0 미만, IMAP 3.3.0 미만)인지 확인합니다.
pip list | grep -E 'apache-airflow|apache-airflow-providers-smtp|apache-airflow-providers-imap'