Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Roundcube Webmail opravuje 3 zranitelnosti

Roundcube Webmail verzemi 1.6.8 a 1.5.8 opravuje 3 zranitelnosti [1][2]. Gentoo má k dispozici opravenou verzi 1.6.9 jako testing [3]. Jednotlivá vydání Debianu a opravené verze [4]: bullseye - 1.4.15+dfsg.1-1+deb11u4 bookworm - 1.6.5+dfsg-1+deb12u4 trixie, sid - 1.6.9+dfsg-1

Roundcube - XSS (CVE-2024-42009)
CVSS 9.3 (Critical)

Neautentizovanému vzdálenému útočníkovi je umožněno provést XSS útok zasláním speciálně vytvořeného e-mailu, což by mu umožnilo posílat e-maily vydávající se za oběť útoku a odcizit e-maily, kontakty a heslo e-mailového účtu oběti útoku. Po zneužití zranitelnosti si útočník dokáže zajistit perzistenci. Více informací o zranitelnosti lze nalézt na [5].

Zranitelnost se nachází v produktu:

  • Roundcube Webmail; <1.5.8; >=1.6, <1.6.8;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N

Více informací:

  • CVE-2024-42009 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 5. 8. 2024.

Roundcube - XSS (CVE-2024-42008)
CVSS 9.3 (Critical)

Neautentizovanému vzdálenému útočníkovi je umožněno provést XSS útok zasláním e-mailu se speciálně vytvořenou přílohou, což by mu umožnilo posílat e-maily vydávající se za oběť útoku a odcizit e-maily, kontakty a heslo e-mailového účtu oběti útoku. Po zneužití zranitelnosti si útočník dokáže zajistit perzistenci. Více informací o zranitelnosti lze nalézt na [5]. Tuto zranitelnost je pro úspěšné zneužití nutné zkombinovat se zranitelností CVE-2024-42010 [5].

Zranitelnost se nachází v produktu:

  • Roundcube Webmail; <1.5.8; >=1.6, <1.6.8;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N

Více informací:

  • CVE-2024-42008 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 5. 8. 2024.

Roundcube - únik informací (CVE-2024-42010)
CVSS 7.5 (High)

Neautentizovanému vzdálenému útočníkovi je umožněno neoprávněně přistupovat k informacím zasláním e-mailu se speciálně vytvořeným CSS souborem. Více informací o zranitelnosti lze nalézt na [5].

Zranitelnost se nachází v produktu:

  • Roundcube Webmail; <1.5.8; >=1.6, <1.6.8;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 5. 8. 2024.

Za CESNET, z.s.p.o. Martin Krajči dne 4. 9. 2024.

CESNET, z.s.p.o. Logo