تسمح عيوب Roundcube Webmail للمتسللين بسرقة رسائل البريد الإلكتروني وكلمات المرور
كشف باحثو الأمن السيبراني عن تفاصيل العيوب الأمنية في برنامج بريد الويب Roundcube الذي يمكن استغلاله لتنفيذ JavaScript ضار في متصفح الويب الخاص بالضحية وسرقة معلومات حساسة من حساباتهم في ظل ظروف محددة.
“عندما تشاهد الضحية رسالة بريد إلكتروني ضارة في Roundcube أرسلها مهاجم، يمكن للمهاجم تنفيذ JavaScript عشوائيًا في متصفح الضحية،” شركة الأمن السيبراني Sonar قال في تحليل نشر هذا الأسبوع.
“يمكن للمهاجمين استغلال الثغرة الأمنية لسرقة رسائل البريد الإلكتروني وجهات الاتصال وكلمة مرور البريد الإلكتروني للضحية بالإضافة إلى إرسال رسائل بريد إلكتروني من حساب الضحية.”
وبعد الكشف المسؤول في 18 يونيو 2024، تم الكشف عن الثغرات الثلاث موجهة في إصدارات Roundcube 1.6.8 و1.5.8 التي تم إصدارها في 4 أغسطس 2024.
قائمة نقاط الضعف هي كما يلي –
- CVE-2024-42008 – خلل في البرمجة النصية عبر المواقع عبر مرفق بريد إلكتروني ضار يتم تقديمه برأس نوع محتوى خطير
- CVE-2024-42009 – خلل في البرمجة النصية عبر المواقع ينشأ من المعالجة اللاحقة لمحتوى HTML المعقم
- CVE-2024-42010 – خطأ في الكشف عن المعلومات ينبع من عدم كفاية تصفية CSS
قد يسمح الاستغلال الناجح للعيوب المذكورة أعلاه للمهاجمين غير المصادقين بسرقة رسائل البريد الإلكتروني وجهات الاتصال، بالإضافة إلى إرسال رسائل بريد إلكتروني من حساب الضحية، ولكن بعد عرض بريد إلكتروني معد خصيصًا في Roundcube.
وقال الباحث الأمني أوسكار زينو مهملات: “يمكن للمهاجمين الحصول على موطئ قدم مستمر في متصفح الضحية عبر عمليات إعادة التشغيل، مما يسمح لهم بتسلل رسائل البريد الإلكتروني بشكل مستمر أو سرقة كلمة مرور الضحية في المرة التالية التي يتم إدخالها فيها”.
“للحصول على هجوم ناجح، لا يلزم أي تفاعل من المستخدم يتجاوز عرض البريد الإلكتروني للمهاجم لاستغلال ثغرة XSS الحرجة (CVE-2024-42009). بالنسبة إلى CVE-2024-42008، يلزم نقرة واحدة من قبل الضحية حتى يعمل الاستغلال. ولكن يمكن للمهاجم أن يجعل هذا التفاعل غير واضح بالنسبة للمستخدم.”
تم حجب التفاصيل الفنية الإضافية حول المشكلات لإعطاء الوقت للمستخدمين للتحديث إلى أحدث إصدار، وفي ضوء حقيقة أن العيوب في برنامج بريد الويب تم استغلالها بشكل متكرر من قبل جهات فاعلة مثل APT28 وWinter Vivern وTAG. -70.
تأتي هذه النتائج في الوقت الذي ظهرت فيه تفاصيل حول ثغرة تصعيد الامتيازات المحلية شديدة الخطورة في RaspAP مشروع مفتوح المصدر (CVE-2024-41637، درجة CVSS: 10.0) التي تسمح للمهاجم بالترقية إلى الجذر وتنفيذ العديد من الأوامر المهمة. تمت معالجة الثغرة الأمنية في الإصدار 3.1.5.
“يتمتع مستخدم www-data بحق الوصول للكتابة إلى ملف Restapi.service ويمتلك أيضًا امتيازات sudo لتنفيذ العديد من الأوامر المهمة بدون كلمة مرور،” هذا ما قاله باحث أمني يستخدم الاسم المستعار عبر الإنترنت 0xZon1 قال. “يسمح هذا المزيج من الأذونات للمهاجم بتعديل الخدمة لتنفيذ تعليمات برمجية عشوائية مع امتيازات الجذر، مما يؤدي إلى تصعيد وصولهم من بيانات www إلى الجذر.”
إرسال التعليق