Roundcube Webmail opravuje 3 zraniteľnosti

Pripadá Vám tento report dobre spracovaný? *

Áno

Nie

Používate túto technológiu? *

Áno

Nie

Bol pre Vás tento report užitočný?

Áno

Nie

Budeme radi, ak sa rozpíšete:

Bezpečnostné služby poskytované organizáciou CESNET sú navrhnuté ako významná podpora pri zaisťovaní kybernetickej bezpečnosti pripojených organizácií. Napriek tomu, že sa usilujeme o poskytovanie kvalitných a spoľahlivých služieb, nie je možné garantovať absolútne pokrytie všetkých bezpečnostných zraniteľností. Naše služby by mali byť vnímané ako doplnok k vlastnému bezpečnostnému riadeniu organizácií, nie ako jeho náhrada. Klient nesie konečnú zodpovednosť za zabezpečenie svojho prostredia.

[TLP:CLEAR] Roundcube Webmail opravuje 3 zraniteľnosti

Roundcube verziami 1.5.7 a 1.6.7 opravuje 3 zraniteľnosti v produkte Webmail [1][2]. Zraniteľnosti eviduje iba Debian, a to len zraniteľnosti týkajúce sa XSS útoku, ktoré opravuje pre vydania trixie a sid vo verzii 1.6.7+dfsg-1 [3]. Ubuntu zatiaľ zraniteľnosti neeviduje [4].

Roundcube Webmail - XSS (CVE-2024-37384)

CVSS 6.1 (Medium)

Neautentizovanému vzdialenému útočníkovi je umožnené vykonať XSS útok zaslaním špeciálne vytvorenej elektronickej pošty [5][6][1][2].

Zraniteľnosť sa nachádza v produkte:

Roundcube; <1.5.7; >=1.6.0, <1.6.7;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Viac informácií:

CVE-2024-37384 na cve.org, NVD
CVE-2024-37383 na cve.org, NVD
CWE-79 na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 7. 6. 2024.

Roundcube Webmail - command injection (CVE-2024-37385)

CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené vykonávať príkazy v operačnom systéme obete zaslaním špeciálne vytvorenej elektronickej pošty [7][1][2].

Zraniteľnosť sa nachádza v produkte:

Roundcube; <1.5.7; >=1.6.0, <1.6.7;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H