Collabora Online Built-in CODE Server (richdocumentscode) 프록시 OS 명령 주입 및 원격 코드 실행(RCE) 취약점 (CVE-2025-66208)

1. 공식 보안 패치 적용

Nextcloud 관리자 페이지의 앱 스토어 또는 CLI를 통해 richdocumentscode 앱을 25.04.702 이상 버전으로 즉시 업데이트하십시오.

Nextcloud CLI(occ)를 이용한 업데이트 명령어:

sudo -u www-data php occ app:update richdocumentscode

2. 임시 완화 조치 (패치 적용이 어려운 경우)

공식 패치 적용 전까지 외부로부터의 위협을 최소화하기 위해 아래 조치를 검토하십시오.

• WAF(웹 애플리케이션 방화벽) 규칙 적용:

proxy.php 경로로 유입되는 요청 중 비정상적인 파라미터나 쉘 메타문자(;, &, |, ` `, $()`)가 포함된 트래픽을 차단하십시오.

• Nginx / Apache 역방향 프록시 설정 보완:

외부에서 proxy.php로 직접 접근하는 경로를 제한하거나, 신뢰할 수 있는 IP 대역에서만 접근할 수 있도록 ACL을 설정하십시오.

  # Nginx 예시: 특정 IP 대역 외 proxy.php 접근 차단
  location ~* /apps/richdocumentscode/proxy.php {
      allow 192.168.1.0/24;
      deny all;
      fastcgi_pass php-handler;
  }

본 취약점(CVE-2025-66208)은 Nextcloud 내장형 Collabora Online 서버인 richdocumentscode 앱의 프록시 메커니즘에서 발생하는 OS 명령 주입(CWE-78) 취약점입니다.

취약점 발생 원인 및 메커니즘

• 입력값 검증 부재: richdocumentscode 내의 proxy.php 구성 요소는 외부 요청을 내부 CODE 서버로 중계하는 역할을 수행합니다. 이 과정에서 특정 매개변수나 헤더 값이 쉘 명령 실행 함수로 전달될 때 적절한 필터링이나 이스케이프 처리가 이루어지지 않습니다.
• 역방향 프록시 우회: 공격자는 중간 역방향 프록시(Reverse Proxy)의 동작 특성을 악용하여, proxy.php가 외부 입력값을 신뢰하도록 유도하고 악성 페이로드가 포함된 명령을 주입할 수 있습니다.
• 원격 코드 실행(RCE): 이 취약점은 인증을 요구하지 않으며(AV:N/AC:L/PR:N/UI:N), 공격 성공 시 웹 서버 권한(예: www-data)으로 대상 시스템에서 임의의 OS 명령을 실행할 수 있어 매우 치명적입니다.