🇰🇷 한글 설명
Bulwark Webmail의 리버스 프록시 설정 오류로 인해 Content-Security-Policy(CSP)가 강제 적용되지 않고 보고 전용 모드로 설정되어 있었습니다. 이로 인해 XSS 공격이 차단되지 않고 로그에만 기록되어, 공격자가 악성 스크립트를 실행하고 세션 토큰을 탈취할 수 있는 위험이 존재합니다.
💡 쉬운 설명
웹사이트의 보안 방어막이 실제 작동하지 않고 '기록만 하는 모드'로 설정되어 있었습니다. 이 때문에 해커가 악성 코드를 심어도 차단되지 않고 그대로 실행될 수 있는 상태였습니다.
🇺🇸 원문 (English)
Bulwark Webmail is a self-hosted webmail client for Stalwart Mail Server. Prior to 1.4.11, the reverse proxy (proxy.ts) set the Content-Security-Policy-Report-Only header instead of the enforcing Content-Security-Policy header. This means cross-site scripting (XSS) attacks were logged but not blocked. Any user who could inject script content (e.g., via crafted email HTML) could execute arbitrary JavaScript in the context of the application, potentially stealing session tokens or performing actions on behalf of the user. This vulnerability is fixed in 1.4.11.
📍 영향받는 시스템
Bulwark Webmail 1.4.11 미만 버전
⚔️ 공격 벡터
조작된 HTML이 포함된 이메일을 통해 악성 스크립트를 주입하는 XSS 공격
🛡️ 대응 방법
Bulwark Webmail을 1.4.11 버전 이상으로 업데이트
🔧 검증 코드
응답 헤더에 'Content-Security-Policy-Report-Only' 대신 'Content-Security-Policy'가 포함되어 있는지 확인
curl -sI http://<target-url>/ | grep -i 'Content-Security-Policy'