🇰🇷 한글 설명
Pony Mail의 Lua 구현에서 HTTP 요청/응답 스머글링 취약점으로 인해 관리자 계정 탈취가 가능합니다. 이 Lua 구현은 폐기되었으며 패치가 출시되지 않을 예정입니다. 사용자는 대체 솔루션 도입 또는 신뢰할 수 있는 사용자만 접근하도록 제한해야 합니다.
💡 쉬운 설명
메일 서버의 오래된 버전에서 특정 방식으로 요청을 조작하면 관리자 권한을 빼앗길 수 있는 심각한 보안 결함입니다. 더 이상 업데이트되지 않으므로 패치 대신 시스템 교체가 필요합니다.
🇺🇸 원문 (English)
** UNSUPPORTED WHEN ASSIGNED ** Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') vulnerability in Pony Mail leading to admin account takeover.
This issue affects all versions of the Lua implementation of Pony Mail. There is a Python implementation under development under the name "Pony Mail Foal" that is not affected by this issue, but hasn't been released yet.
As the Lua implementation of this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative or restrict access to the instance to trusted users.
NOTE: This vulnerability only affects products that are no longer supported by the maintainer.
📍 영향받는 시스템
Pony Mail Lua 구현 모든 버전 (Python 구현 Pony Mail Foal은 영향 없음)
⚔️ 공격 벡터
HTTP 요청/응답 스머글링 기법을 통한 HTTP 요청 조작으로 관리자 세션 탈취
🛡️ 대응 방법
Pony Mail Foal(Python 구현)로 마이그레이션 하거나 대체 메일 솔루션 도입 또는 신뢰할 수 있는 사용자만 접근 가능하도록 네트워크 제한
🔧 검증 코드
Pony Mail 패키지가 설치되어 있으면 해당 시스템이 영향받으므로 즉시 마이그레이션 계획 수립 필요
dpkg -l 2>/dev/null | grep -i pony || apt list --installed 2>/dev/null | grep pony