🇰🇷 한글 설명
Roundcube Webmail 1.6.20 이전 및 1.7.5 이전 1.7.x 버전의 CSS 프록시(utils/modcss 액션)에 무제한 리소스 소비 취약점이 존재합니다. 가져온 스타일시트를 크기 제한과 읽기 타임아웃 없이 메모리에 전부 적재하므로, 공격자가 제어하는 호스트를 가리키는 스타일시트 URL을 이용해 서버 메모리를 고갈시킬 수 있습니다. 업스트림은 응답을 5MB로 제한하고 스트림으로 읽으며 읽기 타임아웃을 적용하는 방식으로 이를 수정했습니다.
💡 쉬운 설명
웹메일의 CSS 기능이 외부 파일을 크기 제한 없이 통째로 메모리에 올리는 문제가 있습니다. 공격자가 아주 큰 파일을 가리키게 만들면 서버 메모리가 바닥나 서비스가 느려지거나 멈출 수 있습니다.
🇺🇸 원문 (English)
Roundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 is affected by an uncontrolled resource consumption vulnerability in the CSS proxy (the utils/modcss action). The fetched stylesheet was read into memory in full, with no size limit and no read timeout, so a stylesheet URL referencing an attacker-controlled host could be used to exhaust server memory. Upstream fixed this in the commit “Add a size limit to the CSS proxy content processing”, which caps the response at 5 MB, reads it as a stream and applies a read timeout.
📍 영향받는 시스템
Roundcube Webmail 1.6.20 미만 및 1.7.x 중 1.7.5 미만 버전
⚔️ 공격 벡터
공격자가 제어하는 호스트의 대용량 스타일시트 URL을 Roundcube CSS 프록시(utils/modcss)에 요청하게 하여 서버 메모리를 고갈시키는 방식
🛡️ 대응 방법
Roundcube를 1.6.20 이상 또는 1.7.5 이상으로 업그레이드하고, 업그레이드가 어려우면 utils/modcss 기능을 비활성화하거나 웹서버 단에서 해당 경로를 제한합니다.
🔧 검증 코드
출력된 버전이 1.6.20 이상(1.6.x 계열) 또는 1.7.5 이상(1.7.x 계열)이면 패치된 것이며, 그보다 낮은 버전이면 취약한 상태이므로 업그레이드가 필요합니다.
grep -rhoE "const RCMAIL_VERSION = '[0-9.]+'" /var/www/*/program/include/iniset.php /usr/share/roundcube/program/include/iniset.php 2>/dev/null