🇰🇷 한글 설명
Zammad 오픈소스 헬프데스크 시스템의 7.0.3 및 7.1.1 버전에서 인증된 관리자가 통합 관리 API를 통해 저장된 통합 자격 증명을 평문으로 획득할 수 있는 취약점이 발견되었습니다. 특정 응답에서 민감한 필드가 일관되게 마스킹되지 않아 LDAP 및 Exchange 통합 설정에 사용된 비밀 정보가 노출될 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 시스템 설정에 저장된 비밀번호를 암호화되지 않은 일반 텍스트 형태로 볼 수 있는 보안 결함입니다. 이로 인해 LDAP이나 Exchange 연결에 사용되는 중요한 계정 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Zammad is a web based open source helpdesk/customer support system. In 7.0.3 and 7.1.1, an authenticated administrator can obtain stored integration credentials in cleartext through the integration administration API. Certain responses do not consistently mask sensitive fields, so configured secrets can be returned in plain text instead of the expected masked placeholder. Both the LDAP and Exchange integrations are affected. This issue is fixed in version 7.1.2.
📍 영향받는 시스템
Zammad version 7.0.3, 7.1.1
⚔️ 공격 벡터
인증된 관리자가 통합 관리 API를 호출하여 마스킹되지 않은 민감한 필드 응답을 탈취
🛡️ 대응 방법
Zammad를 최신 보안 패치가 적용된 버전 7.1.2 이상으로 업데이트
🔧 검증 코드
명령어 결과에 7.0.3 또는 7.1.1 버전이 포함되어 있으면 해당 취약점에 노출된 상태입니다.
curl -s http://<target_ip>/api/v1/system/version | grep -E '7.0.3|7.1.1'