CVE 데이터베이스CVE-2020-13965

최종 갱신 2026-06-17English Advisory →

CVE-2020-139656.1/MEDIUMCISA KEV 등재CWE-79CWE-80

Roundcube Webmail 악성 XML 첨부파일을 통한 교차 사이트 스크립팅(XSS) 취약점 (CVE-2020-13965)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

roundcube

대상 컴포넌트 / 패키지

roundcube_webmail

권고문 발행일

2020-06-09

CVSS v3.1

6.1

MEDIUM

30일 악용확률

76.6%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Roundcube Webmail 1.3.12 미만 버전 및 1.4.x 중 1.4.5 미만 버전

파급 효과

공격자가 악성 XML 첨부파일이 포함된 이메일을 발송하고 사용자가 이를 미리보기할 경우, 세션 하이재킹 및 임의 스크립트 실행이 가능합니다

권장 조치

Roundcube Webmail을 최신 패치 버전(1.3.12 또는 1.4.5 이상)으로 즉시 업그레이드하십시오

영향받는 제품 및 버전 범위

Roundcube Webmail 1.3.12 미만 버전 및 1.4.x 버전 중 1.4.5 미만 버전

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

가장 확실한 해결책은 공식 패치가 적용된 최신 안정 버전으로 업그레이드하는 것입니다. 아래 명령어를 사용하여 Roundcube를 최신 버전으로 업데이트하십시오.

bash

# Roundcube 설치 디렉토리로 이동 (예: /var/www/roundcube)
cd /var/www/roundcube

# 최신 안전 버전 다운로드 및 압축 해제 (1.4.5 이상 또는 최신 LTS)
wget https://github.com/roundcube/roundcubemail/releases/download/1.4.5/roundcubemail-1.4.5-complete.tar.gz
tar -zxvf roundcubemail-1.4.5-complete.tar.gz

# 제공되는 업그레이드 스크립트 실행
cd roundcubemail-1.4.5
./bin/installto.sh /var/www/roundcube

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, Roundcube 설정 파일(config/config.inc.php)에서 XML 파일의 직접 미리보기를 차단하거나 다운로드만 허용하도록 MIME 설정을 조정해야 합니다.

php

// config/config.inc.php 파일 수정
// 'text/xml' 및 'application/xml'을 인라인 뷰어 허용 목록(mime_types)에서 제거하거나 안전하지 않은 파일로 지정
$config['mime_types'] = array(
    'text/html' => 'html',
    // 'text/xml' 관련 매핑을 제거하거나 다운로드 강제 설정
);

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

웹서버 액세스 로그에서 사용자가 XML 첨부파일을 미리보기한 흔적(?_task=mail&_action=get 및 _mime_id 파라미터가 포함된 요청 중 XML 확장자 호출)을 탐지하는 스크립트입니다.

bash

# Apache/Nginx 로그에서 XML 첨부파일 미리보기 요청 검색
grep -Ei 'action=get.*mime_id.*\.xml' /var/log/nginx/access.log /var/log/apache2/access.log 2>/dev/null

# 현재 설치된 Roundcube 버전 확인
grep 'RCMAIL_VERSION' /var/www/roundcube/program/include/iniset.php 2>/dev/null

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV 등재 취약점이므로, Roundcube Webmail 인스턴스를 즉시 1.3.12 또는 1.4.5 이상 버전으로 업그레이드하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2020-13965)은 오픈소스 웹메일 플랫폼인 Roundcube Webmail에서 발생하는 저장형/반사형 교차 사이트 스크립팅(XSS) 취약점입니다. 원인은 이메일 첨부파일의 미리보기(Preview) 기능 처리 로직에 있습니다. Roundcube는 허용된 MIME 타입 목록에 'text/xml'을 포함하고 있었으나, XML 파일 내부에 포함될 수 있는 악성 스크립트(예: CDATA 섹션 내의 JavaScript 또는 SVG 스크립트)를 적절히 필터링하거나 샌드박싱하지 않은 채 브라우저에 렌더링하여 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 악성 JavaScript 코드가 포함된 XML 파일을 작성하여 대상 사용자에게 이메일 첨부파일로 전송합니다. 사용자가 Roundcube 웹메일 인터페이스에서 해당 XML 첨부파일의 '미리보기(Preview)' 버튼을 클릭하면, 서버는 'Content-Type: text/xml' 헤더와 함께 해당 파일의 내용을 브라우저에 직접 출력합니다. 브라우저는 XML 문서 내에 삽입된 스크립트 태그나 이벤트 핸들러를 활성 콘텐츠로 인식하여 실행하게 되며, 이는 Roundcube 세션 컨텍스트 내에서 동작하므로 사용자의 세션 토큰 탈취나 메일함 무단 접근으로 이어집니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 악용된 이력이 확인된 고위험군 취약점입니다. 공격자가 이 취약점을 성공적으로 악용할 경우, 기업 내부 임직원의 웹메일 세션을 탈취하여 기밀 이메일 데이터를 유출하거나, 임직원을 사칭한 2차 피싱 공격을 감행할 수 있어 비즈니스 신뢰도와 데이터 보안에 심각한 타격을 입힙니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

An issue was discovered in Roundcube Webmail before 1.3.12 and 1.4.x before 1.4.5. There is XSS via a malicious XML attachment because text/xml is among the allowed types for a preview.

https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-13965-Cross%20Site-Scripting%20via%20Malicious%20XML%20Attachment-Roundcube

출처: cve@mitre.org · Exploit, Third Party Advisory

https://github.com/roundcube/roundcubemail/commit/884eb611627ef2bd5a2e20e02009ebb1eceecdc3

출처: cve@mitre.org · Patch, Third Party Advisory

https://github.com/roundcube/roundcubemail/compare/1.4.4...1.4.5

출처: cve@mitre.org · Patch

https://github.com/roundcube/roundcubemail/releases/tag/1.3.12

출처: cve@mitre.org · Release Notes

https://github.com/roundcube/roundcubemail/releases/tag/1.4.5

출처: cve@mitre.org · Release Notes

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/DLESQ4LPJGMSWHQ4TBRTVQRDG7IXAZCW/

출처: cve@mitre.org · Mailing List

자주 묻는 실무 질문 (FAQ — CVE-2020-13965)

FAQ

Q1. CVE-2020-13965 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2020-13965의 기본 점수는 CVSS 6.1 (MEDIUM)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 76.6%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.