CVE-2024-42008

XSS w Roundcube Webmail umożliwiający kradzież i wysyłkę e-maili ofiary

CVSS 9.3v3.1pub. 2024-08-05upd. 2025-03-13

Podatność typu Cross-Site Scripting (XSS) w funkcji rcmail_action_mail_get->run() w Roundcube Webmail pozwala zdalnemu atakującemu na wykonanie złośliwego kodu w przeglądarce ofiary. Luka jest oceniana jako krytyczna (CVSS 9.3), ponieważ umożliwia kradzież oraz wysyłanie wiadomości e-mail w imieniu zaatakowanego użytkownika.

▸ Pokaż oryginał (EN)

A Cross-Site Scripting vulnerability in rcmail_action_mail_get->run() in Roundcube through 1.5.7 and 1.6.x through 1.6.7 allows a remote attacker to steal and send emails of a victim via a malicious e-mail attachment served with a dangerous Content-Type header.

🤖 Analiza AI

Jak działa

Atakujący przesyła ofierze wiadomość e-mail zawierającą złośliwy załącznik opatrzony niebezpiecznym nagłówkiem Content-Type. Gdy ofiara otworzy lub wyświetli taki załącznik w interfejsie webowym Roundcube, podatna funkcja rcmail_action_mail_get->run() nieprawidłowo przetwarza dane nagłówka, co skutkuje wykonaniem złośliwego skryptu w kontekście przeglądarki użytkownika. Ponieważ podatność ma zasięg cross-site (S:C w wektorze CVSS), skrypt może oddziaływać poza pierwotnym kontekstem aplikacji. Do wywołania ataku wymagana jest jedynie interakcja ofiary z przesłaną wiadomością.

Skutki

Atakujący może przejąć sesję ofiary, odczytać jej skrzynkę odbiorczą oraz wysyłać wiadomości e-mail w jej imieniu bez jej wiedzy. Skutkuje to pełną utratą poufności i integralności korespondencji e-mail zaatakowanego użytkownika.

Mitygacja

Należy zaktualizować Roundcube Webmail do wersji 1.5.8 lub 1.6.8, w których podatność została usunięta. Patche oraz szczegółowe informacje są dostępne na stronie producenta (roundcube.net) oraz w repozytorium GitHub projektu.

Kogo dotyczy

Roundcube Webmail w wersjach do 1.5.7 włącznie oraz w wersjach 1.6.x do 1.6.7 włącznie

Uwagi

Podatność została opisana przez Sonarsource w artykule na blogu dotyczącym ryzyka dla rządowych skrzynek e-mail. Producent opublikował aktualizacje bezpieczeństwa 4 sierpnia 2024 r.