CVE-2025-49113 - Roundcube Webmail 원격 코드 실행 취약점

기술 개요

CVE-2025-49113은 Roundcube Webmail에서 인증된 원격 코드 실행을 가능하게 하는 심각한 안전하지 않은 역직렬화 취약점입니다. 이 취약점은 파일 업로드 작업 중 직렬화된 PHP 객체를 부적절하게 처리하는 데서 비롯됩니다.

취약점 분석

• 근본 원인: 파일 업로드 기능에서 사용자 제어 데이터의 안전하지 않은 역직렬화
• 공격 벡터: 악성 직렬화된 PHP 객체를 포함한 조작된 파일 업로드 요청
• 기술적 세부 사항:
  • program/steps/mail/attach.inc에 존재
  • 적절한 검증 없이 _file 매개변수 메타데이터 처리
  • 두 가지 주입 기술을 결합:
    1. _form 매개변수를 통한 PHP 세션 주입
    2. filename 매개변수를 통한 악성 객체 주입

영향받는 버전

• Roundcube Webmail 1.5.0 ~ 1.5.9
• Roundcube Webmail 1.6.0 ~ 1.6.10

악용을 위한 사전 요구 사항

• PHP 7.0 이상
• cURL 확장 기능 활성화
• 유효한 인증 세션 자격 증명
• 파일 업로드 기능 접근 권한

악용 메커니즘

기술적 워크플로우

1. 버전 검증: 응답 패턴을 통해 취약한 버전 확인
2. 인증 우회: 인증을 위해 제공된 세션 쿠키 사용
3. 페이로드 전달:
   • PNG 이미지와 함께 multipart/form-data 요청 생성
   • filename 매개변수에 악성 직렬화된 PHP 객체 주입
   • _form 매개변수를 통한 세션 조작 주입
4. 역직렬화 트리거:
   • 파일 처리 중 취약한 역직렬화 루틴
   • 객체 역직렬화 중 가젯 체인 실행
5. 명령 실행: 셸 명령 실행을 위해 system() 함수 활용

코드 실행 흐름

// Simplified exploitation flow
$target_url = $base_url . "?_task=mail&_action=upload&_form=injected_session_data";
$post_data = [
    '_file' => '{"name":"malicious_object_gadget","path":"..."}',
    'file' => curl_file_create('fake.png', 'image/png', 'exploit.png')
];
$response = curl_exec($target_url, $post_data);
// Vulnerable deserialization occurs in attach.inc processing
// Gadget chain triggers command execution: system($_POST['cmd']);

사용 지침

명령 구문

php CVE-2025-49113-exploit_cookies.php <url> <cookies> <command>

매개변수

실행 예시

php CVE-2025-49113-exploit_cookies.php \
    https://mail.example.com/roundcube/ \
    "roundcube_sessid=abc123; roundcube_sessauth=xyz456" \
    "cat /etc/passwd"

탐지 및 완화

손상 지표

• 직렬화된 데이터가 포함된 비정상적인 파일 업로드 요청
• 웹 서버 사용자에 의해 생성된 예상치 못한 프로세스
• Roundcube 또는 웹 서버 로그의 비정상적인 항목

완화 전략

1. 즉시 조치: Roundcube 버전 1.6.11 이상으로 업그레이드
2. 임시 해결 방법: 파일 업로드에 대한 입력 검증 필터 구현
3. 네트워크 제어:
   • 관리 인터페이스에 대한 접근 제한
   • 역직렬화 공격 탐지 기능이 있는 WAF 구현
4. 모니터링: 파일 업로드 작업에 대한 로깅 강화

참고 자료

• NIST NVD 항목
• Roundcube 보안 권고
• 원본 연구
• 악용 코드 참조
• 기술 분석

법적 및 윤리적 고려 사항

이 정보는 교육 목적으로만 제공됩니다. 명시적인 허가 없이 시스템을 대상으로 한 무단 테스트는 불법입니다. 보안 평가를 수행하기 전에 항상 적절한 승인을 받으십시오. 저자와 발행인은 이 정보의 오용에 대해 어떠한 책임도 지지 않습니다.