Roundcube Webmail

Eine XSS-Schwachstelle in rcmail_action_mail_get->run() in Roundcube bis 1.5.7 und 1.6.x bis 1.6.7 erlaubt einem entfernten Angreifer über einen praeparierten E-Mail-Anhang mit gefährlichem Content-Type-Header das Stehlen und Versenden von E-Mails des Opfers. CVSS-Basiswert: 9.3 (Kritisch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Roundcube-Version.

Roundcube Webmail vor Version 1.5.7 und in der 1.6.x-Reihe vor 1.6.7 unter Windows erlaubt eine Command Injection über die Pfadangaben im_convert_path und im_identify_path. Die Schwachstelle besteht aufgrund einer unvollständigen Behebung von CVE-2020-12641. Ein Angreifer kann darüber beliebige Befehle auf dem Server ausführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 1.5.7 beziehungsweise 1.6.7.

Roundcube Webmail 1.6.x vor 1.6.16 und 1.7.x vor 1.7.1 enthält eine SQL-Injection, die bereits vor der Authentifizierung ausnutzbar ist. Sie befindet sich im virtuser_query-Plugin und wird über eine Umgehung des Backslash-Escapings in preg_replace() ausgelöst. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Empfohlene Massnahme: auf Roundcube Webmail 1.6.16 bzw. 1.7.1 oder neuer aktualisieren.

In Bulwark Webmail vor Version 1.4.10 enthielt die Funktion verifyIdentity() eine Logik, die true zurückgab, wenn keine Session-Cookies vorhanden waren. Dadurch konnten Anfragen ohne gültige Sitzung als authentifiziert behandelt werden. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Roundcube Webmail vor 1.6.17 und in der Reihe 1.7.x vor 1.7.2 werden Cascading Style Sheets (CSS) in HTML-E-Mails unzureichend bereinigt. Dies kann zu Server-Side Request Forgery (SSRF) oder zur Preisgabe von Informationen führen, etwa wenn Stylesheets nachgeladen werden. CVSS-Basiswert: 7.2 (Hoch). Eine aktive Ausnutzung über CISA KEV ist nicht bekannt. Empfohlene Massnahme: Update auf Roundcube 1.6.17 bzw. 1.7.2 oder neuer einspielen.

In Bulwark Webmail vor Version 1.4.11 wurde bei der S/MIME-Signaturverifizierung die Zertifikatskette nicht geprüft (checkChain: false). Dadurch konnten E-Mails mit nicht vertrauenswürdigen oder gefälschten Zertifikaten als gültig signiert erscheinen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Bulwark Webmail, einem selbst gehosteten Webclient für den Stalwart Mail Server, wurde vor Version 1.4.10 das Klartextpasswort des Benutzers in der JSON-Antwort des Endpunkts GET /api/auth/session zurückgegeben. Dies ermöglichte Angreifern mit Zugriff auf die Antwort, Anmeldedaten auszulesen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Bulwark Webmail vor Version 1.4.11 verwendete die Funktion getClientIP() in lib/admin/session.ts den ersten (linksten) Eintrag des X-Forwarded-For-Headers als Client-IP. Da dieser Header durch Angreifer manipulierbar ist, konnten IP-basierte Zugriffsbeschränkungen umgangen werden. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Roundcube Webmail vor 1.6.17 und in den Versionen 1.7.x vor 1.7.2 besteht ein Stored-Cross-Site-Scripting (XSS) über eine präparierte Klartext-E-Mail. Der vom Angreifer kontrollierte JavaScript-Code wird im Kontext des Opfers ausgeführt. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: auf Roundcube 1.6.17 bzw. 1.7.2 oder neuer aktualisieren.

Roundcube Webmail ist vor Version 1.5.12 sowie in der 1.6-Reihe vor 1.6.12 anfällig für eine Informationsoffenlegung im HTML-Style-Sanitizer. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 1.5.12 beziehungsweise 1.6.12.

In Roundcube Webmail vor den Versionen 1.5.14 und 1.6.14 lässt sich die Funktion zur Blockierung entfernter Bilder umgehen. Möglich wird dies über ein manipuliertes background-Attribut eines BODY-Elements in einer E-Mail-Nachricht. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Roundcube 1.5.14 bzw. 1.6.14 oder neuer aktualisieren.

In Roundcube Webmail lässt sich die Funktion zum Blockieren externer Bilder über SVG-Inhalte mit animate-Attributen in einer E-Mail umgehen. Betroffen sind Versionen vor 1.5.14 und 1.6.14. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Roundcube Webmail 1.5.14 bzw. 1.6.14 oder neuer aktualisieren.

In Roundcube Webmail vor den Versionen 1.5.14 und 1.6.14 kann eine unzureichende Bereinigung von Cascading Style Sheets (CSS) in HTML-E-Mail-Nachrichten zu einer Umgehung der Fixed-Position-Schutzmassnahme führen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Roundcube 1.5.14 beziehungsweise 1.6.14 aktualisieren.

In Roundcube Webmail vor 1.5.15 und 1.6.15 lässt sich die Funktion zum Blockieren entfernter Bilder über SVG-Inhalte in einer E-Mail-Nachricht umgehen. Dies kann zur Offenlegung von Informationen führen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Roundcube Webmail 1.6.0 vor 1.6.14 kann eine unzureichende Bereinigung von Cascading Style Sheets (CSS) in HTML-E-Mail-Nachrichten zu Server-Side Request Forgery (SSRF) oder zur Offenlegung von Informationen führen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 1.6.14 oder neuer aktualisieren.

In Roundcube Webmail vor 1.6.17 und in 1.7.x vor 1.7.2 wurde eine Endlosschleife im TNEF-Decoder entdeckt, die beim Öffnen einer E-Mail mit TNEF-Anhang zu einem Denial of Service führen kann. CVSS-Basiswert: 4.3 (Mittel). Empfohlene Massnahme: auf Roundcube Webmail 1.6.17 bzw. 1.7.2 oder neuer aktualisieren.

In Roundcube Webmail vor 1.5.14 und 1.6.14 besteht eine Cross-Site-Scripting-Schwachstelle aufgrund unzureichender Bereinigung von HTML-Anhängen im Vorschaumodus. Für die Ausnutzung muss ein Opfer einen text/html-Anhang in der Vorschau öffnen. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Auf Roundcube Webmail 1.5.14 bzw. 1.6.14 oder neuer aktualisieren.

In Roundcube Webmail vor 1.5.14 und 1.6.14 führt ein fehlerhafter Passwortvergleich im Password-Plugin zu einer Type Confusion, durch die eine Passwortänderung ohne Kenntnis des aktuellen Passworts möglich ist. CVSS-Basiswert: 4.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Roundcube Webmail 1.5.14 bzw. 1.6.14.

In Roundcube Webmail vor 1.6.17 und in den Versionen 1.7.x vor 1.7.2 war das Passwort-Plugin anfällig für ein Benutzernamen-Spoofing über Sitzungsdaten, was zu einer Kontoübernahme führen konnte. CVSS-Basiswert: 6.4 (Mittel). Empfohlene Massnahme: auf Roundcube 1.6.17 bzw. 1.7.2 oder neuer aktualisieren.

In Roundcube Webmail vor 1.6.17 und 1.7.x vor 1.7.2 lässt sich der TNEF-Decoder über eine manipulierte Grösse eines komprimierten RTF-Datenstroms für einen Denial of Service ausnutzen. CVSS-Basiswert: 4.3 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Roundcube Webmail 1.6.17 bzw. 1.7.2 oder neuer aktualisieren.

Bulwark Webmail ist ein selbst gehosteter Webmail-Client für den Stalwart Mail Server. In Versionen vor 1.4.11 setzt der Reverse Proxy (proxy.ts) den Header Content-Security-Policy-Report-Only statt der durchsetzenden Content-Security-Policy, wodurch die Schutzwirkung entfällt. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Version 1.4.11 oder neuer aktualisieren.

Roundcube Webmail vor 1.6.17 sowie 1.7.x vor 1.7.2 erlaubt Stored Cross-Site-Scripting (XSS), weil der MIME-Typ eines Anhangs bei der Anhang-Validierung nicht ordnungsgemäss maskiert wird. CVSS-Basiswert: 4.7 (Mittel). Für eine Ausnutzung ist eine Nutzerinteraktion erforderlich. Empfohlene Massnahme: auf Roundcube Webmail 1.6.17 bzw. 1.7.2 oder neuer aktualisieren.

In Roundcube Webmail vor 1.5.14 und 1.6.14 kann eine unsichere Deserialisierung im Session-Handler für Redis/Memcache von nicht authentifizierten Angreifern zu beliebigen Dateischreiboperationen führen. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Auf Roundcube 1.5.14 bzw. 1.6.14 oder neuer aktualisieren.

In Roundcube Webmail vor 1.5.14 und 1.6.14 wurden Argumente des IMAP-Befehls SEARCH nicht ausreichend bereinigt. Dadurch kann es bei der Mailsuche zu einer IMAP-Injection oder einer Umgehung des CSRF-Schutzes kommen. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Roundcube Webmail 1.5.14 bzw. 1.6.14 oder neuer aktualisieren.