🇰🇷 한글 설명
Roundcube Webmail 1.6.20 미만 및 1.7.x 1.7.5 미만 버전에서 썸네일 생성 시 ImageMagick 리소스 제한을 우회할 수 있는 취약점이 존재합니다. GD 라이브러리로 전환될 때 메모리 체크가 Windows에서만 적용되어, 다른 플랫폼에서는 거대한 이미지로 서버 메모리를 고갈시킬 수 있습니다.
💡 쉬운 설명
특수하게 제작된 아주 큰 이미지를 업로드하면 서버의 메모리를 모두 써버려 서비스가 멈출 수 있는 문제입니다. 윈도우가 아닌 운영체제에서 보안 검사가 제대로 작동하지 않아 발생합니다.
🇺🇸 원문 (English)
Roundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 allows the ImageMagick resource limits to be bypassed during thumbnail generation. When rcube_image falls back to GD, the available-memory check was applied only on Windows, so on other platforms a crafted image with large dimensions was processed by GD without any resource limit and could exhaust server memory. Upstream fixed this in the commit “Fix ImageMagick resource limits bypass by GD fallback during thumbnail generation”, which applies the memory check on all platforms.
📍 영향받는 시스템
Roundcube Webmail < 1.6.20, Roundcube Webmail 1.7.x < 1.7.5
⚔️ 공격 벡터
메모리 제한을 우회하도록 설계된 대형 이미지 파일을 업로드하여 서버 자원 고갈 유도
🛡️ 대응 방법
Roundcube Webmail을 최신 보안 패치가 적용된 버전(1.6.20 또는 1.7.5 이상)으로 업데이트
🔧 검증 코드
출력된 버전이 1.6.20 또는 1.7.5 이상인지 확인하여 취약 여부를 판단합니다.
php -r 'echo "Roundcube Version: " . (defined("ROUNDCUBE_VERSION") ? ROUNDCUBE_VERSION : "Not Found");' 2>/dev/null