Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Roundcube Webmail opravuje 3 zranitelnosti
Roundcube verzemi 1.5.7 a 1.6.7 opravuje 3 zranitelnosti v produktu Webmail [1][2]. Zranitelnosti eviduje pouze Debian, a to jen zranitelnosti týkající se XSS útoku, které opravuje pro vydání trixie a sid ve verzi 1.6.7+dfsg-1 [3]. Ubuntu zatím zranitelnosti neeviduje [4].
Neautentizovanému vzdálenému útočníkovi je umožněno provést XSS útok zasláním speciálně vytvořeného e-mailu [5][6][1][2].
Zranitelnost se nachází v produktu:
- Roundcube; <1.5.7; >=1.6.0, <1.6.7;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Více informací:
- CVE-2024-37384 na cve.org, NVD
- CVE-2024-37383 na cve.org, NVD
- CWE-79 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 7. 6. 2024.
Neautentizovanému vzdálenému útočníkovi je umožněno vykonávat příkazy v operačním systému oběti zasláním speciálně vytvořeného e-mailu [7][1][2].
Zranitelnost se nachází v produktu:
- Roundcube; <1.5.7; >=1.6.0, <1.6.7;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-37385 na cve.org, NVD
- CWE-78 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 7. 6. 2024.
Odkazy
- [1] https://github.com/roundcube/roundcubemail/releases/tag/1.5.7
- [2] https://github.com/roundcube/roundcubemail/releases/tag/1.6.7
- [3] https://security-tracker.debian.org/tracker/source-package/roundcube
- [4] https://ubuntu.com/security/cves?q=&package=roundcube
- [5] https://nvd.nist.gov/vuln/detail/CVE-2024-37384
- [6] https://nvd.nist.gov/vuln/detail/CVE-2024-37383
- [7] https://nvd.nist.gov/vuln/detail/CVE-2024-37385
Za CESNET, z.s.p.o. Martin Krajči dne 7. 6. 2024.