🇰🇷 한글 설명
Zammad의 7.0.3 및 7.1.1 버전에서 PGP 서명 검증 로직에 결함이 발견되었습니다. 특정 조건에서 실제 메시지 내용과 서명된 내용이 일치하지 않음에도 불구하고 유효한 서명이 있는 것으로 표시될 수 있습니다. 이로 인해 상담원이 수신된 메일의 진위 여부를 오판할 위험이 있습니다.
💡 쉬운 설명
이메일의 내용이 중간에 바뀌더라도 시스템이 '안전한 서명이 확인됨'이라고 잘못 표시할 수 있는 보안 결함입니다. 이로 인해 가짜 메일을 진짜 메일로 착각하여 속을 위험이 있습니다.
🇺🇸 원문 (English)
Zammad is a web based open source helpdesk/customer support system. In 7.0.3 and 7.1.1, under certain conditions, Zammad's verification of inbound PGP-signed email can mark a message as carrying a valid ("Good") PGP signature from a registered sender key, even though the displayed message content is not actually covered by that signature. As a result, the inbound article may be stored with a successful signature status that does not reflect the authenticity of the shown content. This can mislead agents who rely on the signature indicator when assessing the trustworthiness of incoming mail. This issue is fixed in version 7.1.2.
📍 영향받는 시스템
Zammad version 7.0.3, 7.1.1
⚔️ 공격 벡터
서명된 내용과 실제 본문이 다른 조작된 PGP 이메일을 전송하여 시스템의 검증 로직을 우회함
🛡️ 대응 방법
Zammad를 버전 7.1.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Zammad의 버전을 확인하여 7.0.3 또는 7.1.1인지 확인합니다.
zammad --version 2>/dev/null || dpkg -l | grep zammad