CVE-2025-49113 – Roundcube Webmail RCE Exploit (Python PoC)

CVE ID: CVE-2025-49113
공격 유형: Remote Code Execution (via PHP Object Injection)
적용 대상: Roundcube Webmail ≤ 1.5.9 and ≤ 1.6.10
공격 언어: Python
작성자: 00xCanelo
상태: 테스트 완료, 취약한 Roundcube 설치 환경에서 동작 확인

📌 설명

이 익스플로잇은 Roundcube Webmail이 업로드된 이미지 파일명을 처리할 때 PHP 객체로 역직렬화(unserialize)하는 과정에서 발생하는 취약점을 이용합니다. Crypt_GPG_Engine 역직렬화 체인을 트리거하는 악의적인 페이로드를 조작하여 인증 후 원격 명령 실행(RCE)이 가능합니다.

이 Python PoC는 기존 공개된 PHP 익스플로잇에서 사용된 공격 체인을 모방하되, 더 깔끔한 로직, 선택적 로깅, 그리고 공격 도구 세트에서 사용하기 쉬운 형태로 구현되었습니다.

🚧 전제 조건

• 취약한 Roundcube 버전 (≤1.5.9 또는 ≤1.6.10)
• Roundcube에 유효한 사용자 자격 증명
• Python 3.x 환경
• pip install requests

🚀 공격 단계

python3 CVE-2025-49113.py <target_url> <username> <password> <command>