Roundcube Webmail SVG animate 속성 우회 크로스 사이트 스크립팅(XSS) 취약점 (CVE-2024-37383) 분석 및 대응 가이드

# Roundcube 설치 디렉토리로 이동 (예시 경로)
cd /var/www/roundcube

# 최신 안전 버전 다운로드 (1.6.7 예시)
wget https://github.com/roundcube/roundcubemail/releases/download/1.6.7/roundcubemail-1.6.7-complete.tar.gz

# 압축 해제 및 업데이트 스크립트 실행
tar -zxvf roundcubemail-1.6.7-complete.tar.gz
cd roundcubemail-1.6.7
./bin/installto.sh /var/www/roundcube

# Nginx 설정 파일에 추가하여 SVG 파일 직접 접근 및 렌더링 제한
location ~* \.(svg|svgz)$ {
    add_header Content-Security-Policy "default-src 'none'; frame-ancestors 'none';";
    add_header X-Content-Type-Options "nosniff";
    types {
        image/svg+xml svg svgz;
    }
    # 필요 시 특정 IP 대역 외 SVG 접근 차단
    # allow 127.0.0.1;
    # deny all;
}

#!/bin/bash
# Roundcube 버전 확인
if [ -f /var/www/roundcube/program/include/iniset.php ]; then
    echo '[+] Roundcube Version Info:'
    grep -i 'RCMAIL_VERSION' /var/www/roundcube/program/include/iniset.php || echo 'Version constant not found, check manually.'
fi

# 웹 서버 로그에서 SVG 및 animate 관련 의심스러운 요청 검색
echo '[+] Searching for potential SVG XSS exploitation attempts in logs...'
LOG_DIR='/var/log/nginx'
grep -riE '(<animate|svg.*animate|animate.*values)' $LOG_DIR/access.log* 2>/dev/null