【深度解析】Roundcube Webmail 漏洞：SVG feImage 如何绕过图像屏蔽实现邮件追踪？

漏洞背景

Roundcube Webmail 是一款广泛使用的开源 Webmail 客户端。为了保护用户隐私，Roundcube 默认会阻止远程图像（Remote Images）的加载，以防止攻击者通过“追踪像素”（Tracking Pixels）获取用户的 IP 地址、地理位置及邮件阅读时间。然而，近期发现的一个安全漏洞表明，利用 SVG 的 feImage 滤镜可以完美绕过这一保护机制。

技术原理：SVG feImage 的隐蔽性

SVG (Scalable Vector Graphics) 不仅仅是矢量图形格式，它还支持复杂的滤镜效果（Filters）。在该漏洞中，问题的核心在于 <feImage> 滤镜基元。

在 SVG 滤镜中，<feImage> 用于将外部图像或图形引入当前的滤镜操作。其语法通常如下：

• <filter id="leak"><feImage href="https://attacker.com/track.php" /></filter>

Roundcube 的 HTML sanitizer（清理器）在处理邮件内容时，虽然能够识别并过滤掉 <img> 标签的 src 属性，但在某些版本中，它未能正确识别嵌套在 SVG 滤镜内部的 href 属性。由于该请求是由浏览器渲染引擎在处理 SVG 滤镜时触发的，从而绕过了应用层的图像阻断逻辑。

绕过机制深度分析

传统的 Webmail 防御逻辑通常聚焦于以下几点：

• 过滤 <img>、<video>、<audio> 等标签的 src。
• 清理 CSS 中的 url() 函数。
• 限制 <object> 和 <embed> 标签。

然而，SVG 规范及其高度复杂性为攻击者提供了巨大的攻击面。feImage 引用的资源被浏览器视为滤镜资产（Filter Asset）。当受害者打开邮件时，浏览器解析 SVG 并尝试应用滤镜，从而自动向攻击者的服务器发起 HTTP 请求。这种请求不仅能确认邮件已被打开，还能泄露用户的 User-Agent 和 IP 地址。

关键影响 (Key Takeaways)

• 隐私泄露： 攻击者可以绕过用户设置的“不下载远程图像”选项，强制执行邮件回执追踪。
• 指纹采集： 通过 HTTP 请求头信息，攻击者可以获取受害者的系统环境及浏览器版本。
• 启发式绕过： 该漏洞再次证明了基于“黑名单”的 HTML 清理机制在面对 SVG 等复杂标准时往往力不从心。

修复建议

针对此漏洞，Roundcube 已发布安全更新，强化了对 SVG 标签及其属性的递归扫描逻辑。建议所有系统管理员：

• 立即将 Roundcube 升级至最新稳定版本。
• 在 Web 应用防火墙 (WAF) 层级增加对包含 feImage 或 xlink:href 外部链接的 SVG 载荷的监控。
• 开发者在构建 HTML sanitizer 时，应采用严格的属性“白名单”策略，而非仅对已知危险标签进行拦截。