mail-mime-parser 메일 작성 시 CRLF 헤더 삽입 문제
메일 만드는 부품에 몰래 숨은 수신자를 넣을 수 있습니다.
요약
메일을 만드는 mail-mime-parser 라이브러리가 외부 값의 CR·LF 문자를 걸러내지 않아, 공격자가 숨은 참조(Bcc) 등의 헤더를 끼워 넣을 수 있습니다. 이런 값을 외부에서 받아 메일 형식에 그대로 넣는 애플리케이션이 영향을 받습니다.
해당 조건
- 외부 입력값을 MIME 타입·문자셋·인코딩·micalg·protocol로 그대로 넘기는 경우
대처법
3.x는 3.0.9, 4.x는 4.0.6 이상으로 업데이트하세요. 당장 못 하면 외부에서 받은 값에서 CR과 LF 문자를 제거한 뒤 넘기세요.
내 제품에 맞는 버전 이상으로 업데이트하세요:
- zbateson mail-mime-parser 3.x 3.0.9 이상
- zbateson mail-mime-parser 4.x 4.0.6 이상
대상 제품과 운영체제
CVE 번호
원문 링크
- 보안 공지: github.com (새 탭에서 열림)
- 분석 글: github.com (새 탭에서 열림) · vulncheck.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인