🇰🇷 한글 설명
Spring Boot의 메일 자동 구성 기능에서 SSL/TLS 연결 시 호스트 이름 검증이 비활성화되어 있습니다. 사용자가 spring.mail.properties.mail.smtp.ssl.checkserveridentity=true와 같은 속성을 명시적으로 설정한 애플리케이션은 영향을 받지 않습니다.
💡 쉬운 설명
Spring Boot 메일 기능이 서버의 정체를 확인하지 않아 해커가 가짜 메일 서버로 연결될 위험이 있습니다. 설정을 올바르게 변경하면 이 문제를 방지할 수 있습니다.
🇺🇸 원문 (English)
Spring Boot's Mail auto-configuration does not enable hostname verification. Applications that set the relevant JavaMail property, such as spring.mail.properties.mail.smtp.ssl.checkserveridentity=true, are not affected.
Affected versions:
Spring Boot 4.0.0 through 4.0.6; 3.5.0 through 3.5.14; 3.4.0 through 3.4.16.
📍 영향받는 시스템
Spring Boot 4.0.0-4.0.6, 3.5.0-3.5.14, 3.4.0-3.4.16
⚔️ 공격 벡터
MITM 공격자가 호스트 이름 검증을 우회하여 중간자 공격을 수행할 수 있습니다.
🛡️ 대응 방법
spring.mail.properties.mail.smtp.ssl.checkserveridentity=true 속성을 설정하거나 최신 버전으로 업그레이드하십시오.
🔧 검증 코드
명령어 실행 시 해당 설정이 없거나 false로 되어 있으면 취약하며, true로 설정되어 있으면 안전합니다.
grep -r 'spring.mail.properties.mail.smtp.ssl.checkserveridentity' src/ || echo 'Not Configured'