🇰🇷 한글 설명
eml_parser 3.0.2 미만 버전에서 Received: 헤더의 괄호 주석을 제거할 때 정규표현식 기반의 고정점 루프를 사용하여 중첩 깊이에 따라 실행 시간이 이차 함수적으로 증가하는 취약점이 존재합니다. 공격자가 중첩된 괄호가 포함된 악의적인 EML 파일을 전송할 경우 CPU 자원을 과도하게 점유하여 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
이메일 파일을 분석하는 프로그램이 복잡하게 꼬인 괄호를 처리하느라 컴퓨터의 계산 능력을 과도하게 사용하는 문제입니다. 나쁜 의도를 가진 사람이 특수하게 만든 이메일을 보내면 서버가 느려지거나 멈출 수 있습니다.
🇺🇸 원문 (English)
eml_parser serves as a python module for parsing eml files and returning various information found in the e-mail as well as computed information. Prior to 3.0.2, eml_parser.routing.noparenthesis in eml_parser/routing.py removes parenthesized CFWS comments from Received: headers with a regex-based fix-point loop whose running time is quadratic in the nesting depth. A single Received: header with 5,000 nested parentheses causes approximately 1.3 seconds of CPU saturation per parsed message, and doubling the nesting depth approximately quadruples the running time. An attacker can submit relatively small EML files that consume multiple seconds of processing time, causing worker latency, queue backpressure, and possible service-level outages in synchronous gateways, sandboxes, and real-time triage pipelines. This issue is fixed in version 3.0.2.
📍 영향받는 시스템
eml_parser version < 3.0.2
⚔️ 공격 벡터
중첩된 괄호가 다량 포함된 악의적인 EML 파일을 분석 시스템에 전송
🛡️ 대응 방법
eml_parser 라이브러리를 3.0.2 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 3.0.2 미만인지 확인
pip show eml_parser | grep Version