🇰🇷 한글 설명
Nodemailer 라이브러리의 주소 파서가 RFC 5322 주석이 포함된 따옴표 형식의 로컬 파트를 잘못 처리하는 취약점입니다. 이로 인해 공격자가 제어하는 도메인 텍스트가 정규화된 주소에 포함될 수 있으며, 이는 SMTP 봉투에 잘못된 수신자 주소가 포함되는 결과를 초래할 수 있습니다.
💡 쉬운 설명
이메일 주소를 분석하는 과정에서 특수 기호를 잘못 처리하여, 원래 의도하지 않은 다른 주소로 이메일이 발송될 수 있는 문제입니다. 공격자가 이메일 주소 뒤에 몰래 다른 주소를 붙여서 보낼 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Nodemailer is a Node.js email-sending library. In versions >= 9.1.0 and < 10.0.9, the address parser (src/addressparser) mishandles addresses whose local-part is a quoted string and that are followed by RFC 5322 comments, allowing trailing comment-separated domain atoms to be retained in the normalized address. For example, the input "user"@example.com(x)evil.com is parsed to the address value '
[email protected] evil.com', which contains additional attacker-controlled domain text separated by a literal space. This parsed value is used without further strict recipient validation when the message envelope is built (envelope.to in src/mime-node), so a malformed/ambiguous recipient address can be accepted and placed in the SMTP envelope. Whether this results in delivery to an unintended recipient on real SMTP servers has not been confirmed. The issue is a variant of the RFC 5322 comment parsing problem addressed in GHSA-cc9r-2j5m-2m83, affecting the separate quoted-local-part code path. Version 10.0.9 contains a fix.
📍 영향받는 시스템
Nodemailer versions >= 9.1.0 and < 10.0.9
⚔️ 공격 벡터
RFC 5322 주석 형식을 악용한 악의적인 이메일 주소 입력
🛡️ 대응 방법
Nodemailer를 버전 10.0.9 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 nodemailer의 버전이 9.1.0 이상 10.0.9 미만인지 확인하십시오.
npm list nodemailer | grep nodemailer