Roundcube Webmail SQL 인젝션 취약점 보안 권고 (CVE-2021-44026)

# Debian/Ubuntu 패키지 업데이트
sudo apt-get update
sudo apt-get --only-upgrade install roundcube roundcube-core roundcube-plugins

# 소스 설치 환경의 경우 최신 릴리즈 다운로드 및 압축 해제
wget https://github.com/roundcube/roundcubemail/releases/download/1.4.12/roundcubemail-1.4.12-complete.tar.gz
tar -zxvf roundcubemail-1.4.12-complete.tar.gz
cd roundcubemail-1.4.12

# 기존 설치 경로로 업데이트 스크립트 실행
sudo ./bin/installto.sh /var/www/roundcube

# Nginx 설정 파일에 SQL 인젝션 방어 룰 추가
if ($query_string ~* "(union|select|insert|delete|update|drop|char|declare|cast|convert|or|and)") {
    return 403;
}

location / {
    # 신뢰할 수 있는 IP 대역에서만 Roundcube 접근 허용
    allow 192.168.1.0/24;
    deny all;
}

# Nginx/Apache 액세스 로그에서 SQL 인젝션 시도 흔적 검색
grep -Ei 'search.*(select|union|concat|char|information_schema)' /var/log/nginx/access.log /var/log/apache2/access.log

# 현재 설치된 Roundcube 버전 확인
grep "RCMAIL_VERSION" /var/www/roundcube/program/include/iniset.php