🇰🇷 한글 설명
SEPPmail Secure Email Gateway 15.1.1 이전 버전은 GINA 웹 인터페이스의 인증되지 않은 계정 선택 입력값에서 LDAP 메타문자를 적절히 무효화하지 않습니다. 이로 인해 원격의 인증되지 않은 공격자가 이메일 주소를 열거할 수 있습니다.
💡 쉬운 설명
이메일 보안 게이트웨이의 로그인 입력란이 특수문자를 제대로 걸러내지 않아, 로그인 없이도 회사 직원들의 이메일 주소 목록을 빼낼 수 있는 문제입니다. 이렇게 수집된 주소는 피싱 공격 등에 악용될 수 있습니다.
🇺🇸 원문 (English)
SEPPmail Secure Email Gateway before 15.1.1 does not neutralize LDAP metacharacters in an unauthenticated account-selection input in its GINA web interface. A remote unauthenticated attacker can enumerate email addresses.
📍 영향받는 시스템
SEPPmail Secure Email Gateway 15.1.1 이전 버전
⚔️ 공격 벡터
네트워크로 GINA 웹 인터페이스의 계정 선택 입력란에 조작된 LDAP 질의를 보내 인증 없이 이메일 주소를 열거
🛡️ 대응 방법
SEPPmail Secure Email Gateway를 15.1.1 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 문자열이 15.1.1 이상이면 패치 완료, 15.1.1 미만이거나 결과가 없으면 취약하거나 수동 확인이 필요합니다.
curl -sk https://<gateway-host>/gina/ 2>/dev/null | grep -io 'seppmail[^<]*version[^<]*' | head -n 1