🇰🇷 한글 설명
aiosmtpd 버전 1.4.6 이전에서는 STARTTLS 이후 수신한 암호화되지 않은 명령어를 암호화된 연결로부터의 것처럼 처리하는 결함이 있습니다. 이는 중간자(MITM) 공격자가 SMTP 연결을 가로채 명령어를 주입할 수 있게 합니다.
💡 쉬운 설명
메일 서버가 암호화를 시작한 후에도 암호화되지 않은 명령어를 받아들이는 보안 결함입니다. 공격자가 네트워크를 감시하며 메일 전송을 조작할 수 있습니다.
🇺🇸 원문 (English)
aiosmptd is a reimplementation of the Python stdlib smtpd.py based on asyncio. Prior to version 1.4.6, servers based on aiosmtpd accept extra unencrypted commands after STARTTLS, treating them as if they came from inside the encrypted connection. This could be exploited by a man-in-the-middle attack. Version 1.4.6 contains a patch for the issue.
📍 영향받는 시스템
aiosmtpd < 1.4.6
⚔️ 공격 벡터
중간자 공격자가 STARTTLS 이후 암호화되지 않은 SMTP 명령어를 주입하여 메일 서버를 조종
🛡️ 대응 방법
aiosmtpd를 버전 1.4.6 이상으로 업그레이드
🔧 검증 코드
Version이 1.4.6 이상이면 패치됨, 1.4.6 미만이면 즉시 업그레이드 필요
pip show aiosmtpd 2>/dev/null | grep Version || python3 -c "import aiosmtpd; print(aiosmtpd.__version__)" 2>/dev/null