🇰🇷 한글 설명
Zammad 7.1.2 미만 버전에서 S/MIME 서명된 이메일의 디지털 서명을 검증할 때, 인증서의 신뢰 여부를 확인하지 않고 이름 일치 여부만 확인하는 취약점이 존재합니다. 공격자는 신뢰받는 발신자의 이름으로 위조된 인증서를 생성하여 가짜 이메일을 보낼 수 있으며, 시스템은 이를 유효한 메시지로 표시합니다. 이 문제는 7.1.2 버전에서 수정되었습니다.
💡 쉬운 설명
이메일 보낸 사람의 이름만 보고 진짜인지 가짜인지 제대로 확인하지 못하는 보안 허점이 있습니다. 해커가 유명한 사람의 이름을 사칭한 가짜 신분증을 만들어 이메일을 보내도 시스템이 이를 진짜로 믿어버릴 수 있습니다.
🇺🇸 원문 (English)
Zammad is a web based open source helpdesk/customer support system. Prior to 7.1.2, when Zammad checks the digital signature on an incoming S/MIME-signed email, it does not verify that the signing certificate is genuinely trusted, it only checks whether a certificate with a matching name is already stored in the system. An attacker can create their own certificate using the name of a real, previously trusted sender and use it to send a forged email. Zammad will display that email with the same "validly signed" indicator as a genuine message from the real sender, even though the attacker never had access to that sender's actual certificate or private key. This issue is fixed in version 7.1.2.
📍 영향받는 시스템
Zammad version < 7.1.2
⚔️ 공격 벡터
신뢰받는 발신자의 이름을 도용한 위조된 S/MIME 인증서를 사용하여 가짜 이메일 발송
🛡️ 대응 방법
Zammad를 최신 보안 패치가 적용된 7.1.2 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 7.1.2 미만인 경우 해당 취약점에 노출된 상태입니다.
zammad --version 2>/dev/null || dpkg -l | grep zammad 2>/dev/null | awk '{print $3}'
💻 영향받는 소프트웨어
IBM Security Verify Access