Bug crítico de XSS no Roundcube Webmail permite que invasores roubem e-mails e dados confidenciais

A Equipe de Pesquisa de Vulnerabilidades da Sonar descobriu uma vulnerabilidade crítica de Cross-Site Scripting (XSS) no popular software de webmail de código aberto Roundcube. O Roundcube é incluído por padrão no painel de hospedagem do servidor cPanel, que tem milhões de instalações no mundo todo.

Um invasor pode acionar a vulnerabilidade para executar JavaScript arbitrário no navegador da vítima ao visualizar um e-mail malicioso, o que pode levar ao roubo de e-mails, contatos, senhas e envio não autorizado de e-mails.

Especialistas apontaram que e-mails de funcionários do governo são um alvo valioso para grupos APT que realizam campanhas de espionagem cibernética. Em outubro de 2023, a ESET Research revelou que uma vulnerabilidade semelhante foi explorada pelo grupo APT Winter Vivern para atingir entidades governamentais europeias.
Os especialistas descobriram duas vulnerabilidades XSS rastreadas como CVE-2024-42009 e CVE-2024-42008 , que têm classificações críticas e altas, respectivamente. As falhas impactam o Roundcube versão 1.6.7 e abaixo, e a versão 1.5.7 e abaixo.

Nenhuma interação do usuário é necessária para explorar com sucesso o CVE-2024-42009, enquanto para o CVE-2024-42008, um único clique da vítima é necessário.
“Eles permitem que um invasor não autenticado roube e-mails e contatos, bem como envie e-mails da conta de uma vítima. Tudo o que o usuário vítima precisa fazer é visualizar um e-mail malicioso no Roundcube.” diz o relatório publicado pela Sonar. “Os invasores podem obter uma posição persistente no navegador da vítima em reinicializações, permitindo que eles exfiltrem e-mails continuamente ou roubem a senha da vítima na próxima vez que ela for inserida.”

A empresa não divulgou detalhes técnicos das vulnerabilidades para dar tempo aos administradores de atualizar. No entanto, grupos APT ainda podem descobrir a maneira de usar essas falhas como armas. Os pesquisadores recomendam fortemente que os administradores do Roundcube apliquem os patches mais recentes (versão 1.6.8 ou 1.5.8) imediatamente. Os usuários afetados devem alterar suas senhas de e-mail e limpar os dados do site do navegador para o Roundcube.
Os especialistas também descobriram uma vulnerabilidade de divulgação de informações, rastreada como CVE-2024-42010 , que é causada por filtros insuficientes de sequências de tokens Cascading Style Sheets (CSS) em mensagens de e-mail renderizadas.

Fonte: securityaffairs.com