🇰🇷 한글 설명
Alinto SOGo 5.12.7 버전에 존재하는 크로스사이트 스크립팅(XSS) 취약점입니다. 악의적으로 조작된 ICS 캘린더 초대 파일의 description 필드에 포함된 SVG 콘텐츠(onrepeat 이벤트 핸들러 포함)가 충분히 정제되지 않아, 웹메일 인터페이스에서 임의의 JavaScript가 실행될 수 있습니다.
💡 쉬운 설명
공격자가 만든 특수한 캘린더 초대장을 열어보기만 해도, 웹메일에 로그인된 사용자의 브라우저에서 공격자의 악성 코드가 실행될 수 있습니다. 이로 인해 메일과 연락처가 유출되거나 로그인 세션을 빼앗길 수 있습니다.
🇺🇸 원문 (English)
A cross-site scripting (XSS) vulnerability exists in Alinto SOGo, version 5.12.7. A maliciously crafted ICS calendar invitation files allows arbitrary JavaScript execution within the authenticated SOGo webmail session. The issue occurs because SVG content embedded in the description field of an ICS file, with an onrepeat event handler, is insufficiently sanitized before being rendered in the webmail interface. A remote attacker can execute JavaScript in the victim's browser when the malicious calendar invite is viewed. Successful exploitation may allow mailbox access, email and contact theft, session hijacking, and other actions allowed by an authenticated user.
📍 영향받는 시스템
Alinto SOGo 5.12.7 (해당 버전 및 관련 취약 버전 확인 필요)
⚔️ 공격 벡터
악성 SVG가 포함된 ICS 캘린더 초대장을 피해자에게 전송하고, 피해자가 웹메일에서 이를 열람할 때 스크립트가 실행됨
🛡️ 대응 방법
Alinto SOGo를 보안 패치가 적용된 최신 버전으로 업데이트하고, 캘린더 콘텐츠 렌더링 시 SVG 및 이벤트 핸들러에 대한 입력 정제를 강화
🔧 검증 코드
출력된 버전이 5.12.7이면 취약한 버전이므로 즉시 업데이트가 필요하며, 패치된 이후 버전이 표시되면 조치가 완료된 것입니다. 아무 결과도 나오지 않으면 SOGo가 설치되어 있지 않은 것입니다.
sogo --version 2>/dev/null || dpkg -l sogo 2>/dev/null | grep -i sogo || rpm -q sogo 2>/dev/null