云安全提醒: Roundcube爆出多个漏洞,可窃取信息 接管邮箱账户

本篇文章1464字，读完约4分钟

Roundcube是一个广泛使用的开源网络电子邮件程序，被世界各地的许多组织和公司使用。Roundcube webmail是linux中最常用的，它提供了一个基于web浏览器的皮肤变化imap客户端，并提供了多种语言。功能包括mime支持，地址簿，文件夹和邮件搜索功能。Roundcube支持各种邮件协议，如imaps、pop3s或submission，并且可以管理多个电子邮件帐户。

然而，在7月21日，roundcube发布了一个关于跨站点脚本漏洞(代码cve-2020-15562)的通知，这是roundcube稳定版本1.4及其1.3和1.2中的一个漏洞。7月22日，roundcube发布了针对此漏洞的紧急安全更新，并修复了以前的安全漏洞(参数注入漏洞cve-2020-12641)。以下是该漏洞的详细信息:

参数注入漏洞cve-2020-12641

该漏洞主要存在于round cube web mail 1 . 4 . 4之前的rcube_image.php文件中。攻击者可以利用该漏洞通过外壳元字符执行任意代码。

受影响的版本

1.2.11之前的Roundcube webmail、1.3.12之前的1.3.x和1.4.5之前的1.4.x。

修复漏洞

该漏洞已在圆形立方体1.4.7、1.3.14和1.2.11中修复。建议尽快升级到最新版本，以增强安全性！

跨站点脚本漏洞cve-2020-15562

该漏洞源于web应用程序中缺乏对客户端数据的正确身份验证。攻击者可以利用此漏洞执行客户端代码。

Roundcube使用自定义版本的washtml html cleaner在电子邮件中显示不受信任的html代码。修改之一是为svg标记添加一个异常，以正确处理xml命名空.但是，处理协议中的漏洞将导致清理检查失败。这可能会受到javascript负载滥用命名空.之间的属性的攻击例如，包含html onload事件的恶意电子邮件可以利用该漏洞。如果被触发，它可能会导致对存储的xss攻击。

Xss(跨站脚本)攻击通常是指利用网页开发过程中留下的漏洞向网页中注入恶意的指令代码，使用户能够加载并执行攻击者恶意制造的网页程序。这些恶意的网络程序通常是javascript，但实际上它们也可以包括java、vbscript、activex、flash甚至普通的html。攻击成功后，攻击者可能会获得各种内容，包括但不限于更高的权限(如执行某些操作)、私人网页内容、对话、cookie等。

成功的攻击允许在经过身份验证的受害者会话的上下文中执行任意javascript代码，因此基本上模拟了登录用户。这赋予攻击者与合法用户相同的权利，包括但不限于阅读和删除电子邮件、代表受害者发送电子邮件、访问地址列表和发起垃圾邮件活动。攻击者可以从私人信件中获取其他敏感信息，这可能使恶意行为者能够访问外部服务，如纯文本凭据和确认电子邮件。

受影响的版本

在1.2.11之前的roundcube webmail、1.3.14之前的1.3.x和1.4.7之前的1.4.x中存在跨站点脚本漏洞。

修复漏洞

该漏洞已在圆形立方体1.4.7、1.3.14和1.2.11中修复。建议尽快升级到最新版本，以增强安全性！

目前，制造商已经发布了一个升级补丁来修复该漏洞，补丁获取链接:

round cube/news/2020/07/05/security-updates-1 . 4 . 7-1 . 3 . 14-and-1 . 2 . 11

来源：搜狐微门户