🇰🇷 한글 설명
GFI KerioConnect(Kerio Connect) 10.0.8 Patch 2 이전 버전의 Webmail 구성요소에는 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 원격 공격자는 이벤트 핸들러 속성 검사를 우회하도록 조작된 SVG 이메일 첨부파일을 업로드하여, 피해자의 인증된 Webmail 세션에서 자바스크립트를 실행할 수 있습니다. 임시 다운로드 엔드포인트의 Content-Security-Policy 샌드박스가 불충분하여 첨부파일을 열면 스크립트가 실행됩니다.
💡 쉬운 설명
공격자가 악성 코드가 숨겨진 그림 파일을 이메일로 보내면, 피해자가 그 첨부파일을 열 때 웹메일에 로그인된 상태에서 공격자의 명령이 실행됩니다. 이로 인해 계정 정보와 메일 내용이 유출될 수 있습니다.
🇺🇸 원문 (English)
GFI KerioConnect (Kerio Connect) before 10.0.8 Patch 2 contains a stored cross-site scripting vulnerability in the Webmail component that allows a remote attacker to run JavaScript in a victim's authenticated Webmail session by uploading a crafted SVG email attachment that bypasses sanitization of event-handler attributes. Attackers can exploit the temporary-download endpoint's insufficient Content-Security-Policy sandbox to execute scripts when the attachment is opened, enabling theft of the victim's credentials and mailbox contents. Proofpoint Threat Research has observed exploitation in the wild as a credential and mailbox stealer.
📍 영향받는 시스템
GFI KerioConnect 10.0.8 Patch 2 이전 버전
⚔️ 공격 벡터
조작된 SVG 이메일 첨부파일을 발송하고 피해자가 열면 Webmail 세션에서 스크립트가 실행되어 자격 증명과 메일함 내용을 탈취
🛡️ 대응 방법
KerioConnect를 10.0.8 Patch 2 이상으로 업데이트하고, 의심스러운 SVG 첨부파일 수신을 차단하거나 격리
🔧 검증 코드
출력된 버전이 10.0.8 Patch 2 미만이면 취약하며, 10.0.8 Patch 2 이상이면 패치가 적용된 것입니다. 명령이 결과를 출력하지 않으면 설치 경로를 직접 확인해야 합니다.
kerio-control --version 2>/dev/null || /opt/kerio/mailserver/mailserver --version 2>/dev/null | grep -iE 'version'