✔Уязвимости в Roundcube Webmail позволяли воровать пароли и письма - «Новости»

Специалисты компании Sonar предупредили об опасных уязвимостях в Roundcube Webmail, которые могут использоваться для выполнения вредоносного jаvascript в браузере жертвы и кражи конфиденциальной информации из ее аккаунта при определенных обстоятельствах. «Когда жертва просматривает вредоносное письмо в Roundcube, отправленное злоумышленником, тот получает возможность выполнить произвольный jаvascript в браузере жертвы, — рассказывают исследователи. — Злоумышленники могут использовать эту уязвимость для кражи писем, контактов и пароля жертвы, а также для отправки писем с ее аккаунта». В общей сложности 4 августа 2024 года в Roundcube версий 1.6.8 и 1.5.8 были устранены три уязвимости: CVE-2024-42008 — XSS-проблема, связанная с вредоносными вложениями с опасным хедером Content-Type; CVE-2024-42009 — еще один XSS-баг, возникающий при постобработке уже очищенного HTML-контента; CVE-2024-42010 — утечка информации, возникающая из-за недостаточной фильтрации CSS. Как уже было сказано выше, успешная эксплуатация этих уязвимостей может позволить неавторизованным злоумышленникам воровать чужую электронную почту и контакты, а также отправлять письма с аккаунта жертвы, но только после просмотра специально подготовленного вредоносного письма в Roundcube. «Злоумышленники могут закрепиться в браузере жертвы после перезапуска, что позволит им постоянно перехватывать письма или украсть пароль жертвы при следующем его вводе. Для успешной атаки на критическую XSS-уязвимость CVE-2024-42009 не требуется никаких действий со стороны пользователя, кроме просмотра письма от злоумышленника. Чтобы эксплуатировать CVE-2024-42008 со стороны жертвы потребуется всего один клик, но злоумышленник может сделать это взаимодействие неочевидным для пользователя», — предупредили эксперты Sonar. Дополнительные технические подробности об этих уязвимостях пока не раскрываются, чтобы дать пользователям больше времени на установку обновлений, а также в свете того, что проблемы Roundcube Webmail неоднократно использовались в атаках такими хак-группами, как APT28, Winter Vivern и TAG-70.