CVE 데이터베이스CVE-2025-68461

최종 갱신 2026-06-17English Advisory →

CVE-2025-684617.2/HIGHCISA KEV 등재CWE-79

Roundcube Webmail SVG animate 태그 기반 교차 사이트 스크립팅(XSS) 취약점 (CVE-2025-68461) 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

roundcube

대상 컴포넌트 / 패키지

roundcube webmail

권고문 발행일

2025-12-18

CVSS v3.1

7.2

HIGH

30일 악용확률

27.4%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Roundcube Webmail 1.5.12 미만 버전 및 1.6.12 미만 버전 (1.6.x 계열)

파급 효과

공격자가 악성 SVG 파일이 첨부된 이메일을 통해 사용자의 세션 토큰 탈취 및 메일함 무단 접근 등의 임의 스크립트를 실행할 수 있습니다

권장 조치

즉시 공식 패치가 적용된 최신 버전(1.5.12 또는 1.6.12)으로 업그레이드를 수행하십시오

영향받는 제품 및 버전 범위

Roundcube Webmail 1.5.12 미만 버전 및 1.6.12 미만 버전 (1.6.0 ~ 1.6.11)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Roundcube 공식 개발사에서 배포한 최신 보안 패치 버전(1.5.12 또는 1.6.12)으로 즉시 업그레이드를 진행하십시오.

bash

# Debian/Ubuntu 계열 패키지 업데이트 예시
apt-get update && apt-get --only-upgrade install roundcube roundcube-core

# 소스 설치형 Roundcube 업그레이드 스크립트 실행 예시
cd /tmp
wget https://github.com/roundcube/roundcubemail/releases/download/1.6.12/roundcubemail-1.6.12-complete.tar.gz
tar -zxvf roundcubemail-1.6.12-complete.tar.gz
cd roundcubemail-1.6.12
./bin/installto.sh /var/www/roundcube

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 웹 서버(Nginx/Apache) 설정 또는 Roundcube 설정을 통해 SVG 파일의 인라인 렌더링을 차단하거나 Content Security Policy(CSP)를 강화하십시오.

nginx

# Nginx 설정 파일 (/etc/nginx/sites-available/roundcube)
# SVG 파일에 대한 인라인 실행을 방지하기 위해 다운로드를 강제하거나 CSP 헤더 추가
location ~* \.(svg)$ {
    add_header Content-Security-Policy "default-src 'none'; sandbox;";
    add_header Content-Disposition "attachment; filename=$request_filename";
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 운영 중인 Roundcube의 버전을 확인하고, 메일 서버 로그에서 SVG 첨부파일 및 악성 태그 유입 여부를 점검하는 스크립트입니다.

bash

# Roundcube 설치 버전 확인
grep "RCMAIL_VERSION" /var/www/roundcube/program/include/iniset.php

# 메일 수신 로그 및 웹 서버 액세스 로그에서 SVG 관련 요청 및 'animate' 패턴 매칭 점검
grep -ri "<animate" /var/log/roundcube/
grep -ri "\.svg" /var/log/nginx/access.log

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

실제 공격에 악용되고 있는 취약점이므로, 운영 중인 Roundcube Webmail을 즉시 1.5.12 또는 1.6.12 최신 버전으로 업데이트하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2025-68461)은 Roundcube Webmail의 이메일 본문 및 첨부파일 렌더링 엔진이 SVG(Scalable Vector Graphics) 문서를 처리하는 과정에서 발생합니다. Roundcube는 수신된 이메일 내의 HTML 및 미디어 콘텐츠를 안전하게 필터링하기 위해 자체적인 새니타이저(Sanitizer)를 사용하지만, SVG 내의 <animate> 태그에 대한 검증이 미흡하여 악성 자바스크립트가 포함된 SVG 코드가 필터링을 우회하고 브라우저 컨텍스트에서 실행되는 취약점(CWE-79)이 존재합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 <animate> 태그의 values, to, from 또는 이벤트 핸들러 속성을 악용하여 자바스크립트 실행을 유도하는 악성 SVG 파일을 생성합니다. 이후 해당 SVG 파일을 이메일에 첨부하거나 본문에 인라인으로 삽입하여 대상 사용자에게 발송합니다. 피해자가 Roundcube Webmail 웹 인터페이스에서 해당 이메일을 열람하거나 첨부된 SVG 파일을 미리보기할 때, 브라우저는 SVG 내의 악성 스크립트를 신뢰할 수 있는 Roundcube 도메인 컨텍스트 내에서 실행하게 됩니다. 이로 인해 세션 쿠키(Session Cookie) 탈취, API 호출을 통한 메일 무단 전송 및 설정 변경 등의 2차 피해가 발생할 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 적극적으로 악용되고 있음이 확인되었습니다. CVSS 7.2(High)의 높은 위험도를 가지며, 인증되지 않은 원격 공격자가 이메일 수신이라는 단순한 사용자 상호작용만으로 조직 내부의 메일 서버 세션을 장악할 수 있어 기밀성 및 무결성에 심각한 타격을 줄 수 있습니다.