🇰🇷 한글 설명
OTRS의 POP3, IMAP, SMTP 통신 과정에서 OpenSSL을 사용할 때 인증서 검증 함수인 SSL_get_verify_result()를 호출하지 않는 결함이 발견되었습니다. 이로 인해 인증서의 유효성을 확인하지 않고 항상 신뢰하게 되어, 공격자가 유효하지 않거나 만료된 인증서를 사용하여 신뢰할 수 있는 호스트로 위장할 수 있습니다.
💡 쉬운 설명
이메일을 주고받을 때 상대방이 진짜인지 확인하는 '신분증 검사' 과정을 생략하는 보안 결함입니다. 이 때문에 해커가 가짜 신분증을 내밀어도 시스템이 그대로 믿어버려 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
The functions to fetch e-mail via POP3 or IMAP as well as sending e-mail via SMTP use OpenSSL for static SSL or TLS based communication. As the
SSL_get_verify_result() function is not used the certificated is trusted always and it can not be ensured that the certificate
satisfies all necessary security requirements.
This could allow an
attacker to use an invalid certificate to claim to be a trusted host,
use expired certificates, or conduct other attacks that could be
detected if the certificate is properly validated.
This issue affects OTRS: from 7.0.X before 7.0.47, from 8.0.X before 8.0.37; ((OTRS)) Community Edition: from 6.0.X through 6.0.34.
📍 영향받는 시스템
OTRS 7.0.X (7.0.47 미만), 8.0.X (8.0.37 미만), Community Edition 6.0.X (6.0.34 이하)
⚔️ 공격 벡터
중간자 공격(MITM)을 통해 유효하지 않거나 만료된 SSL/TLS 인증서를 사용하여 신뢰할 수 있는 서버로 위장
🛡️ 대응 방법
OTRS를 최신 보안 패치가 적용된 버전(7.0.47 이상, 8.0.37 이상 또는 Community Edition 6.0.34 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 OTRS의 버전을 확인하여 취약한 버전 범위에 해당하는지 대조하십시오.
rpm -q otrs || dpkg -l | grep otrs