🇰🇷 한글 설명
Zammad 7.1.2 미만 버전에서 Microsoft Graph 요청 실패 시 로그에 인증 토큰이 불완전하게 마스킹되어 기록되는 취약점이 발견되었습니다. JWT 형식의 토큰 중 일부가 평문으로 노출되어, 관리자가 로그를 통해 계정 범위나 테넌트 정보 등 민감한 클레임을 확인할 수 있습니다. 이는 공격자가 유효한 토큰을 재구성하는 데 도움을 줄 수 있습니다.
💡 쉬운 설명
고객 지원 시스템인 Zammad에서 로그인 정보가 담긴 암호 키의 일부가 로그 파일에 그대로 노출되는 문제입니다. 관리자가 이 로그를 보면 중요한 보안 정보가 담긴 암호의 일부를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Zammad is a web based open source helpdesk/customer support system. Prior to 7.1.2, when a Microsoft Graph request fails, Zammad logs the error including the authentication token used to access the mailbox. The system attempts to hide this token in the log, but the masking is incomplete: for the token format Microsoft uses (JWT), only the first part is hidden, while the remaining parts remain readable in plain text. A Zammad admin with Microsoft Graph channel access can view these logs and see the partial token, which may reveal sensitive claims such as the account scope, tenant, or timing, and could assist in reconstructing the full token while it is still valid. This issue is fixed in version 7.1.2.
📍 영향받는 시스템
Zammad version prior to 7.1.2
⚔️ 공격 벡터
Microsoft Graph 채널 접근 권한을 가진 내부 관리자가 시스템 로그를 조회하여 노출된 토큰 정보를 탈취
🛡️ 대응 방법
Zammad를 최신 보안 패치가 적용된 버전 7.1.2 이상으로 업데이트
🔧 검증 코드
출력된 Zammad의 버전이 7.1.2 미만인지 확인하여 취약 여부를 판단합니다.
dpkg -l | grep zammad 2>/dev/null || rpm -q zammad 2>/dev/null || zammad --version