🇰🇷 한글 설명
Progressive Robot hMailServer 6.0.0부터 6.3.5 버전에서 RFC 7672 규격을 준수하지 못하는 취약점이 발견되었습니다. DNSSEC로 검증된 TLSA 레코드가 존재함에도 DANE-EE 레코드가 없다는 이유로 TLS 강제를 수행하지 않고 보안이 취약한 opportunistic TLS로 전환됩니다. 이로 인해 네트워크 중간에 위치한 공격자가 STARTTLS 협상을 방해하여 이메일 내용을 평문으로 탈취하거나 변조할 수 있습니다.
💡 쉬운 설명
이메일을 보낼 때 보안 연결(TLS)을 반드시 사용해야 하는 상황임에도 불구하고, 특정 조건에서 보안이 약한 방식으로 자동 전환되는 결함이 있습니다. 공격자가 중간에서 이 연결을 가로채면 이메일 내용을 몰래 읽거나 내용을 바꿀 수 있습니다.
🇺🇸 원문 (English)
Progressive Robot hMailServer 6.0.0 through 6.3.5 does not enforce TLS for outbound SMTP delivery to a mail exchanger whose DNSSEC-validated TLSA records contain no DANE-EE (usage 3) record, contrary to RFC 7672 section 2.2. The server used only DANE-EE records and treated a validated TLSA record set consisting of DANE-TA (usage 2) or otherwise unusable records as if no records were published, so delivery to such a host fell back to opportunistic TLS. An attacker with an active position on the network path between the server and the recipient's mail exchanger can suppress or break the STARTTLS negotiation and cause messages to be delivered in cleartext, where they can be read and modified.
📍 영향받는 시스템
Progressive Robot hMailServer 6.0.0 ~ 6.3.5
⚔️ 공격 벡터
네트워크 경로 중간에서 STARTTLS 협상을 방해하여 이메일을 평문(Cleartext)으로 강제 전송 유도
🛡️ 대응 방법
hMailServer를 최신 보안 패치가 적용된 버전으로 업데이트하거나, DANE 설정을 엄격하게 적용하도록 구성 변경
🔧 검증 코드
출력된 버전이 6.0.0에서 6.3.5 사이인지 확인하여 취약 여부를 판단합니다.
hMailServer --version 2>/dev/null || powershell "(Get-ItemProperty 'HKLM:\SOFTWARE\Progressive\hMailServer').Version"
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
Microsoft Exchange Server