🇰🇷 한글 설명
Progressive Robot hMailServer Linux 버전 6.3.0부터 6.3.5 사이에서 네트워크 타임아웃 설정 누락으로 인해 원격 공격자가 서버 스레드를 무한정 점유할 수 있습니다. 이를 통해 외부 메일 발송을 중단시키는 서비스 거부(DoS) 공격이 가능합니다.
💡 쉬운 설명
메일 서버가 상대방의 응답을 기다릴 때, 상대방이 아무 대답도 하지 않으면 서버가 계속 기다리느라 멈춰버리는 문제입니다. 공격자가 일부러 대답을 안 함으로써 메일 서버가 정상적으로 작동하지 못하게 방해할 수 있습니다.
🇺🇸 원문 (English)
Missing network timeouts in the Linux builds of Progressive Robot hMailServer 6.3.0 through 6.3.5 allow a remote attacker to hold server threads indefinitely and so stop outbound mail delivery (denial of service). The server set its socket timeouts in the form Windows takes, which Linux refuses, and its HTTPS clients read without a deadline, so a peer that accepts a connection and then sends nothing held the waiting thread for as long as the connection stayed open. The MTA-STS policy fetch, enabled by default, is made during outbound delivery to mta-sts.<recipient domain>, so anyone who can make the server deliver mail to a domain they control - for example as the envelope sender of a message that bounces - can hold delivery threads until outbound delivery stops. The same flaw affects the DANE TLSA query, the OAuth2 token request, the ACME client, and the ManageSieve and metrics listeners, which a silent client stops from serving anyone else. Windows builds are not affected.
📍 영향받는 시스템
Progressive Robot hMailServer 6.3.0 ~ 6.3.5 (Linux 빌드 한정)
⚔️ 공격 벡터
공격자가 제어하는 도메인으로 메일을 보내도록 유도하여 서버의 네트워크 연결 스레드를 무한 대기 상태로 만듦
🛡️ 대응 방법
hMailServer를 최신 보안 패치가 적용된 버전으로 업데이트하거나, Linux 환경에서의 네트워크 타임아웃 설정을 확인하십시오.
🔧 검증 코드
출력된 결과에서 hMailServer의 버전이 6.3.0에서 6.3.5 사이인지 확인하십시오.
dpkg -l | grep hmailserver 2>/dev/null || rpm -qa | grep hmailserver 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
NVIDIA Cloud Gaming Guest Driver for Linux