CVE 데이터베이스CVE-2020-12641

최종 갱신 2026-06-17English Advisory →

CVE-2020-126419.8/CRITICALCISA KEV 등재CWE-78CWE-78

Roundcube Webmail rcube_image.php 원격 코드 실행(RCE) 취약점 (CVE-2020-12641)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

roundcube

대상 컴포넌트 / 패키지

roundcubemail

권고문 발행일

2020-05-04

CVSS v3.1

9.8

CRITICAL

30일 악용확률

84.4%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Roundcube Webmail 1.4.4 미만 버전

파급 효과

공격자가 인증 없이 시스템 명령어 주입을 통해 대상 서버의 완전한 제어권을 획득하고 원격 코드를 실행할 수 있습니다

권장 조치

Roundcube Webmail을 최신 안전 버전(1.4.4 이상)으로 즉시 업그레이드하고 ImageMagick 관련 설정 경로를 검증하십시오

영향받는 제품 및 버전 범위

Roundcube Webmail 1.4.4 미만 버전 전체 (1.4.0 ~ 1.4.3, 1.3.x 및 이전 버전 포함)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

가장 확실한 해결책은 Roundcube Webmail을 공식 보안 패치가 적용된 1.4.4 이상 버전으로 업그레이드하는 것입니다. 아래 명령어를 사용하여 최신 안정 버전으로 업데이트를 수행하십시오.

bash

# Roundcube 설치 디렉토리로 이동 (경로는 환경에 따라 다를 수 있음)
cd /var/www/roundcubemail

# 최신 안전 버전 다운로드 및 압축 해제 (예: 1.4.4)
wget https://github.com/roundcube/roundcubemail/releases/download/1.4.4/roundcubemail-1.4.4-complete.tar.gz
tar -zxvf roundcubemail-1.4.4-complete.tar.gz

# 업그레이드 스크립트 실행
cd roundcubemail-1.4.4
./bin/installto.sh /var/www/roundcubemail

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 업그레이드가 어려운 경우, Roundcube 설정 파일(config/config.inc.php)에서 ImageMagick 관련 실행 경로 설정을 비활성화하거나 절대 경로로 고정하여 임의 명령 주입을 차단해야 합니다.

bash

# Roundcube 설정 파일 편집
vi /var/www/roundcubemail/config/config.inc.php

# 아래 설정을 찾아 빈 값으로 설정하거나 주석 처리하여 기본 PHP GD 라이브러리를 사용하도록 유도
# $config['im_convert_path'] = '';
# $config['im_identify_path'] = '';

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

서버 내 설정 파일에 악의적인 명령어가 주입되었는지 여부와 현재 구동 중인 Roundcube 버전을 점검하는 스크립트입니다.

bash

# 1. 현재 설치된 Roundcube 버전 확인
grep "RCMAIL_VERSION" /var/www/roundcubemail/program/include/iniset.php

# 2. 설정 파일 내에 비정상적인 쉘 메타문자나 명령어 주입 흔적 검색
grep -E "im_convert_path|im_identify_path" /var/www/roundcubemail/config/config.inc.php

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV 등재 취약점으로 실제 공격에 악용되고 있으므로, Roundcube Webmail을 즉시 1.4.4 이상 버전으로 업그레이드하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2020-12641)은 오픈소스 웹메일 솔루션인 Roundcube Webmail의 이미지 처리 컴포넌트(rcube_image.php)에서 발생하는 심각한 OS 명령 주입(Command Injection) 취약점입니다. Roundcube는 이미지 변환 및 식별 작업을 위해 내부적으로 ImageMagick 도구(convert, identify)를 호출할 수 있습니다. 이 과정에서 im_convert_path 또는 im_identify_path 설정값에 대한 불충분한 입력값 검증으로 인해, 쉘 메타문자가 포함된 악의적인 경로 설정이 필터링 없이 시스템 쉘로 직접 전달되어 임의 명령어가 실행되는 취약점이 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 Roundcube의 구성 설정(Configuration)을 조작하거나, 해당 설정을 제어할 수 있는 벡터를 통해 im_convert_path 또는 im_identify_path 변수에 쉘 메타문자(예: ;, &&, |)와 함께 실행하고자 하는 악성 명령어를 주입합니다. 이후 rcube_image.php가 이미지 썸네일 생성이나 파일 검증을 위해 해당 경로의 실행 파일을 호출할 때, 주입된 메타문자가 웹 서버(Apache/Nginx 등)의 권한으로 해석되어 백도어 설치, 리버스 쉘 연결 등의 악성 행위가 수행됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 9.8의 치명적(Critical) 등급으로 평가되었으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 적극적으로 악용되고 있음이 확인되었습니다. 공격자가 이 취약점을 성공적으로 악용할 경우, 메일 서버의 완전한 제어권을 탈취하여 내부 기밀 이메일 데이터를 유출하거나, 메일 서버를 스팸 발송 및 내부 네트워크 침투를 위한 프록시 거점으로 악용할 수 있어 비즈니스 신뢰도와 인프라 보안에 치명적인 타격을 입힙니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

rcube_image.php in Roundcube Webmail before 1.4.4 allows attackers to execute arbitrary code via shell metacharacters in a configuration setting for im_convert_path or im_identify_path.

http://lists.opensuse.org/opensuse-security-announce/2020-09/msg00083.html

출처: cve@mitre.org · Mailing List, Third Party Advisory

https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-12641-Command%20Injection-Roundcube

출처: cve@mitre.org · Exploit, Third Party Advisory

https://github.com/roundcube/roundcubemail/commit/fcfb099477f353373c34c8a65c9035b06b364db3

출처: cve@mitre.org · Patch

https://github.com/roundcube/roundcubemail/compare/1.4.3...1.4.4

출처: cve@mitre.org · Release Notes

https://github.com/roundcube/roundcubemail/releases/tag/1.4.4

출처: cve@mitre.org · Release Notes

https://roundcube.net/news/2020/04/29/security-updates-1.4.4-1.3.11-and-1.2.10

출처: cve@mitre.org · Release Notes, Vendor Advisory

자주 묻는 실무 질문 (FAQ — CVE-2020-12641)

FAQ

Q1. CVE-2020-12641 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2020-12641의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 84.4%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2020-12641에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 roundcube이며, 대상 컴포넌트는 roundcubemail입니다. 상세 영향 범위: Roundcube Webmail 1.4.4 미만 버전 전체 (1.4.0 ~ 1.4.3, 1.3.x 및 이전 버전 포함)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Roundcube Webmail을 최신 안전 버전(1.4.4 이상)으로 즉시 업그레이드하고 ImageMagick 관련 설정 경로를 검증하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동