CVE-2025-54321 비밀번호 재설정 이메일 폭탄 공격

설명

비밀번호 재설정 기능은 대상 이메일 주소에 대한 비율 제한을 구현하지 않습니다. 이로 인해 이메일 폭탄 공격(Email Bombing)이 가능합니다.

---

CVSS 점수: 7.1 (높음)

---

공격 유형

• 원격 (인증됨)

---

영향을 받는 버전

• 8.6.8 이하 버전

---

제품 공급업체

• Ascertia

---

영향을 받는 제품 코드 베이스

• SigningHub

---

영향을 받는 구성 요소

• 비밀번호 재설정 기능.

---

완화 조치

• 비밀번호 재설정 API에 비율 제한을 구현합니다.

---

취약점 세부 정보

• 비밀번호 재설정 기능에 비율 제한이 없어 이메일 폭탄 공격 취약점이 발생합니다. 인증된 공격자는 비밀번호 재설정 요청을 자동화하여 다수의 비밀번호 재설정 이메일로 대상 사용자 계정을 침수시킬 수 있습니다. 이는 피해자의 메일함을 압도하여 정상적인 이메일을 관리하고 찾기 어렵게 만들 뿐만 아니라, 메일 서버의 리소스를 소모하여 심각한 영향을 줍니다. 증가된 부하로 인해 성능 저하가 발생할 수 있으며, 심각한 경우 메일 서버가 응답하지 않거나 사용할 수 없게 되어 조직 전체의 이메일 서비스가 중단될 수 있습니다.

---

수정된 버전

• 8.6.8 이후 버전

---

발견자

• Yazan Abu-Nadi