📖 개요

Mail2Shell이라는 별칭을 가진 CVE-2026-28289는 FreeScout에 영향을 미치는 치명적인 제로클릭 원격 코드 실행(RCE) 취약점입니다.

공격자는 FreeScout 사서함에 특수하게 조작된 이메일을 보내는 것만으로 — 인증도, 사용자 상호작용도 없이 — 대상 서버에 대한 원격 셸 액세스를 획득할 수 있습니다.

🧠 취약점 요약

⚙️ 기술 분석

📨 1단계 — 악성 이메일 전달

공격자는 특수하게 조작된 첨부파일이 포함된 이메일을 보냅니다.

🧩 2단계 — 파일명 검증 우회

FreeScout는 .htaccess와 같은 위험한 파일을 차단하려고 시도하지만, 공격자는 다음을 수행합니다:

• 너비가 0인 유니코드 문자를 앞에 추가합니다
• 파일명 검증을 우회합니다
• 파일이 실행 가능한 유효한 서버 파일로 저장됩니다

💣 3단계 — 원격 실행

공격자는 웹 경로를 통해 업로드된 파일에 접근하여 임의의 명령을 실행합니다.

결과:

# Remote shell access achieved
whoami
www-data

✅ 공격이 성공하면 단계별로 정확히 보게 될 결과는 다음과 같습니다:

1. 터미널에서 (스크립트 실행 직후)

✅ Email sent successfully! (Zero-Click RCE triggered)

다음 단계에 대한 안내도 함께 출력됩니다.

2. SSH로 FreeScout 서버에서 find 명령을 실행하면

업로드된 파일의 전체 실제 경로가 즉시 반환됩니다. 예를 들어:

/var/www/html/storage/attachment/2026/03/05/15/webshell.txt

(또는 유사한 날짜/시간 폴더 — FreeScout가 첨부파일을 자동으로 저장했음을 확인해 줍니다).

3. 성공의 진짜 증거 — 브라우저에서 (완전한 RCE를 확인하는 순간)

2단계의 경로를 복사하여 다음 URL을 엽니다:

http://your-freescout-domain.com/storage/attachment/2026/03/05/15/webshell.txt?cmd=whoami

다음과 같은 정확한 출력이 표시됩니다 (일반 텍스트):

www-data

(또는 서버의 Apache/PHP 사용자에 따라 다름 — 일반적으로 www-data, apache, nobody 중 하나입니다).

이제 명령을 변경하고 새로고침합니다:

http://your-freescout-domain.com/storage/attachment/2026/03/05/15/webshell.txt?cmd=id

다음과 같이 표시됩니다:

uid=33(www-data) gid=33(www-data) groups=33(www-data)

그리고 ls -la의 출력:

total 12
drwxr-xr-x 2 www-data www-data 4096 Mar  5 15:00 .
drwxr-xr-x 8 www-data www-data 4096 Mar  5 14:00 ..
-rw-r--r-- 1 www-data www-data   87 Mar  5 15:00 webshell.txt

이 출력은 브라우저 페이지에 직접 나타납니다 (웹셸의 <pre> 태그 안). 오류도, PHP 소스 코드도, 404도 없습니다.

즉, 서버에서 완전한 원격 코드 실행이 가능하다는 뜻입니다 — .htaccess + 제로폭 공백 우회가 완벽하게 작동했고, 이메일 첨부파일이 사용자 상호작용 없이 처리되었습니다.

🎯 위험한 이유

• ⚡ 제로클릭 악용
• 🌐 원격 공격 표면 (이메일)
• 🔓 인증 불필요
• 🧨 완전한 RCE 기능
• 📂 데이터 유출 가능성
• 🔁 내부 네트워크에서 측면 이동

📦 영향을 받는 버전

FreeScout의 모든 버전:

<= 1.8.206

✅ 패치된 버전

즉시 다음 버전으로 업그레이드하세요:

1.8.207 or later

🛡️ 완화 조치

1️⃣ 즉시 조치

• FreeScout를 최신 버전으로 업그레이드

2️⃣ 웹 서버 보안 강화

• Apache 구성에서 AllowOverride All 비활성화
• 첨부파일 디렉터리 내에서 실행 제한

3️⃣ 로그 모니터링

다음을 찾으세요:

• 의심스러운 .htaccess 파일
• 비정상적인 첨부파일 업로드
• /storage/attachments/에 대한 직접 접근 시도

🔍 탐지 팁

침해 지표(IoC)에는 다음이 포함될 수 있습니다:

• 첨부파일 폴더에 알 수 없는 .htaccess 파일
• 외부로 향하는 트래픽 급증
• 웹 서버에서 셸 프로세스 생성
• 첨부파일 경로에 대한 의심스러운 POST/GET 요청

🧪 개념 증명 (개념적)

Email → Malicious Attachment (Unicode prefixed filename)
        ↓
Saved to predictable path
        ↓
Web-accessible execution
        ↓
Remote shell

📌 관련 취약점

이 문제는 다음에서 추가된 보호 조치를 우회했습니다:

• CVE-2026-27636

이는 불완전한 파일명 검증 로직을 보여줍니다.

📊 영향 평가

🧩 교훈

• 유니코드 처리는 검증 전에 정규화되어야 합니다
• 파일명 필터링에만 의존해서는 안 됩니다
• 첨부파일 디렉터리는 코드 실행을 허용해서는 안 됩니다
• 제로클릭 벡터는 고위험 공격 표면입니다

📚 참고 자료

• FreeScout 보안 권고
• CVE-2026-28289 NVD 항목