🇰🇷 한글 설명
Apache Airflow SMTP provider의 SmtpHook이 SSL context 없이 starttls()를 호출하여 TLS 업그레이드 시 인증서 검증을 수행하지 않습니다. 네트워크 중간의 공격자가 자체 서명된 인증서로 위장하여 후속 login() 호출 시 SMTP 자격증명을 탈취할 수 있습니다.
💡 쉬운 설명
Airflow의 이메일 기능에서 보안 검증이 빠져있어서, 네트워크 중간의 해커가 가짜 이메일 서버로 위장할 수 있습니다. 해커는 이를 통해 이메일 서버 접근 비밀번호를 가로챌 수 있습니다.
🇺🇸 원문 (English)
Apache Airflow's SMTP provider `SmtpHook` called Python's `smtplib.SMTP.starttls()` without an SSL context, so no certificate validation was performed on the TLS upgrade. A man-in-the-middle between the Airflow worker and the SMTP server could present a self-signed certificate, complete the STARTTLS upgrade, and capture the SMTP credentials sent during the subsequent `login()` call. Users are advised to upgrade to the `apache-airflow-providers-smtp` version that contains the fix.
📍 영향받는 시스템
apache-airflow-providers-smtp (수정 버전 이전의 모든 버전)
⚔️ 공격 벡터
MITM 공격자가 자체 서명 인증서를 제시하고 SMTP 자격증명 탈취
🛡️ 대응 방법
apache-airflow-providers-smtp를 보안 패치가 적용된 최신 버전으로 업그레이드
🔧 검증 코드
설치된 버전을 확인하고 CVE 공지에 명시된 최소 안전 버전 이상인지 확인합니다.
pip show apache-airflow-providers-smtp | grep Version