CVE-2024-37383
— 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Roundcube Webmail 存在 **存储型跨站脚本 (Stored XSS)** 漏洞。
💥 **后果**：攻击者可通过 **SVG 动画属性** 注入恶意脚本，导致用户浏览器执行非预期操作，窃取会话或重定向。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：输入验证不足，未对 **SVG 内容** 进行严格过滤。
🏷️ **CWE**：数据中未明确标注，但根据描述属于典型的 **XSS (CWE-79)** 类缺陷。
Q3影响谁？（版本/组件）
📦 **组件**：**Roundcube Webmail** (开源 IMAP 客户端)。
📉 **受影响版本**：
- **1.5.7 之前** 的所有版本
- **1.6.x 系列** 中 **1.6.7 之前** 的版本
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：
- **窃取数据**：读取用户邮件、地址簿。
- **会话劫持**：获取管理员或普通用户的 Cookie/Session。
- **钓鱼/重定向**：诱导用户点击恶意链接或执行恶意操作。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**中等**。
- 需要向受害者发送包含恶意 SVG 的 **邮件/附件**。
- 受害者需在 Roundcube 界面中 **查看/渲染** 该邮件。
- 属于 **存储型**，一旦注入，后续访问者均可能中招。
Q6有现成Exp吗？（PoC/在野利用）
💻 **现成 Exp**：**有**。
- GitHub 上已有多个 PoC 仓库（如 `CVE-2024-37383-POC`）。
- 提供 Docker 启动脚本，方便快速复现和利用。
- 被描述为 **Stored XSS** 利用。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
- 检查 Roundcube 版本是否低于 **1.5.7** 或 **1.6.7**。
- 扫描邮件服务器中是否包含异常 **SVG 标签** 或 **onload/onerror** 事件。
- 使用 Dork 搜索特定 Roundcube 实例。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：**已修复**。
- 官方发布了 **1.5.7** 和 **1.6.7** 安全更新。
- 建议立即升级至上述版本或更高版本。
- Debian LTS 也已发布安全更新 (DLA 3835-1)。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
- **升级**是唯一彻底方案。
- 若无法升级，可尝试在 Web 服务器层过滤 **SVG 上传/嵌入**。
- 限制用户查看邮件时的 **HTML 渲染** 权限（如纯文本模式）。
Q10急不急？（优先级建议）
⚡ **优先级**：**高**。
- 存储型 XSS 危害大，影响面广。
- 已有公开 PoC，利用门槛低。
- 官方已提供补丁，**建议立即升级** 以消除风险。