🇰🇷 한글 설명
evolution-data-server에서 캘린더 일정의 ATTACH 속성에 file:// URI가 포함된 경우, 해당 로컬 파일을 자동으로 읽어 base64로 인코딩한 뒤 서버로 업로드하는 결함이 발견되었습니다. 파일 경로 제한이나 검증 절차가 없어, 공격자가 공유 CalDAV 캘린더를 통해 악성 일정을 생성하면 사용자의 임의 파일을 탈취할 수 있습니다.
💡 쉬운 설명
공격자가 보낸 악성 캘린더 일정을 확인하기만 해도 내 컴퓨터에 있는 중요한 파일이 몰래 공격자 서버로 전송될 수 있는 보안 취약점입니다. 캘린더의 첨부파일 기능을 악용하여 사용자 몰래 파일을 빼가는 방식입니다.
🇺🇸 원문 (English)
A flaw was found in evolution-data-server. Calendar events containing a file:// URI in their ATTACH property automatically read the targeted local file, base64-encode its contents and upload it back to the server when the event is saved. There are no file path restrictions or checks to verify whether the attachment originally came from the server or was added locally. This allows an attacker with access to a shared CalDAV calendar to exfiltrate arbitrary files the user has access to when interacting with malicious calendar events.
📍 영향받는 시스템
evolution-data-server (버전 미지정, CalDAV 사용 환경)
⚔️ 공격 벡터
공유 CalDAV 캘린더를 통해 file:// URI가 포함된 악성 캘린더 이벤트를 전송하여 사용자 기기의 파일을 탈취
🛡️ 대응 방법
evolution-data-server를 최신 보안 패치가 적용된 버전으로 업데이트하고, 신뢰할 수 없는 공유 캘린더 사용을 제한하십시오.
🔧 검증 코드
명령어 결과에 evolution-data-server 패키지가 나타나면 해당 소프트웨어를 사용 중인 것이며, 설치된 버전을 확인하여 보안 패치 여부를 점검해야 합니다.
dpkg -l | grep evolution-data-server || rpm -qa | grep evolution-data-server
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access