🇰🇷 한글 설명
Zammad의 인바운드 PGP 이메일 처리 과정에서 GPG 검증 결과값이 무시되는 취약점이 발견되었습니다. 서명의 유효성 여부와 관계없이 시스템이 항상 'Good signature'로 표시하여, 공격자가 이메일 내용을 변조하거나 가짜 서명을 사용하더라도 사용자가 이를 신뢰하게 만들 수 있습니다.
💡 쉬운 설명
이메일이 진짜인지 확인하는 검사 결과가 무시되어, 가짜 이메일도 진짜처럼 표시되는 문제입니다. 이로 인해 공격자가 보낸 조작된 메시지를 사용자가 안전하다고 믿고 속을 수 있습니다.
🇺🇸 원문 (English)
Zammad is a web based open source helpdesk/customer support system. Prior to 7.0.2, summary In Zammad's inbound PGP email processing, the return value of the gpg verification call was silently discarded. Regardless of whether gpg reported a valid, invalid, or missing signature, the handler unconditionally wrote sign: { success: true, comment: "Good signature" } to the article's security preferences. Impact Any sender could tamper with the body of a multipart/signed PGP email, or craft a message with an entirely fabricated or mismatched signature, and Zammad would display it to the recipient as cryptographically verified with a "Good signature" label. Users and agents relying on Zammad's signature indicator to confirm message authenticity and integrity would be misled into trusting modified or forged content. The vulnerability affects all inbound PGP-signed emails processed while the PGP integration is enabled. This issue is fixed in version 7.0.2.
📍 영향받는 시스템
Zammad 7.0.2 미만 모든 버전 (PGP 통합 기능 활성화 시)
⚔️ 공격 벡터
서명이 조작되거나 유효하지 않은 multipart/signed PGP 이메일을 전송하여 수신자를 기만
🛡️ 대응 방법
Zammad를 최신 보안 패치가 적용된 버전 7.0.2 이상으로 업데이트
🔧 검증 코드
출력된 Zammad의 버전이 7.0.2 미만인지 확인하여 취약 여부를 판단합니다.
gem list zammad | grep -E '(\(|\s)'