🇰🇷 한글 설명
Progressive Robot hMailServer 6.0.0~6.3.5 버전에서 DANE(RFC 7672) 적용 시 보안 검증에 실패하면 암호화 없이 연결을 허용하는 결함이 발견되었습니다. 공격자가 DNS 응답을 조작하거나 차단할 경우, DNSSEC이 적용된 도메인임에도 불구하고 보안 연결을 무력화하여 이메일 내용을 탈취하거나 변조할 수 있습니다.
💡 쉬운 설명
이메일을 보낼 때 보안 연결을 확인하는 과정에서 오류가 발생하면, 시스템이 안전하게 차단하는 대신 그냥 보안이 없는 상태로 메일을 보내버리는 문제입니다. 해커가 중간에서 가짜 정보를 보내면 여러분의 소중한 이메일 내용이 그대로 노출될 수 있습니다.
🇺🇸 원문 (English)
Progressive Robot hMailServer 6.0.0 through 6.3.5 fails open when applying DANE (RFC 7672) to outbound SMTP delivery. The server's validating DNSSEC resolver treated a TLSA or MX lookup that did not complete (no answer, SERVFAIL, a malformed reply), an answer without the requested records and without an NSEC/NSEC3 proof of their absence, and an answer whose records carried no applicable RRSIG as if the recipient domain were unsigned, and from 6.2.19 it also delivered to mail exchangers taken from an unvalidated MX lookup that the DNSSEC-validated MX record set did not name. An attacker who can drop, forge or strip DNS answers on the path to the server's resolver, at the resolver, or between the resolver and the recipient domain's name servers, and who holds an active position on the SMTP path, can thereby disable DANE for a DNSSEC-signed recipient domain and cause messages to be delivered in cleartext or to a host of the attacker's choosing with an arbitrary certificate, where they can be read and modified.
📍 영향받는 시스템
Progressive Robot hMailServer 6.0.0 ~ 6.3.5
⚔️ 공격 벡터
DNS 응답을 조작, 위조 또는 삭제할 수 있는 네트워크 중간자 공격(MITM)
🛡️ 대응 방법
hMailServer를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 6.0.0에서 6.3.5 사이인지 확인하십시오.
hMailServer --version 2>/dev/null || powershell "(Get-ItemProperty 'HKLM:\SOFTWARE\hMailServer').Version" 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
Microsoft Exchange Server