Roundcube 1.6.18 y 1.7.3 lanzados con corrección para vulnerabilidades RCE y SSRF

Roundcube ha lanzado las versiones 1.6.18 y 1.7.3 para abordar once vulnerabilidades de seguridad que afectan a su plataforma de correo web. Las actualizaciones corrigen una falla en la ejecución remota de código, omisiones de falsificación de solicitudes del lado del servidor, vulnerabilidades de inyección y problemas de secuencias de comandos almacenadas entre sitios.

El problema más grave es una vulnerabilidad de ejecución remota de código en el complemento markasjunk. Una exploit exitosa podría permitir a un atacante ejecutar comandos dentro del entorno de Roundcube afectado, lo que representa un riesgo directo para el servidor de correo web y potencialmente para otros sistemas a los que se puede acceder desde él. Debido a que procesa el contenido del correo electrónico, se conecta a servidores IMAP y puede integrarse con directorios LDAP, filtros Sieve y herramientas de gestión de spam, un compromiso puede proporcionar un punto de entrada útil a la infraestructura de mensajería de una organización. Roundcube 1.6.18 y 1.7.3 lanzados con solución Una vulnerabilidad RCE en este entorno podría permitir a los atacantes robar datos de correo, establecer persistencia o pasar a servicios internos.

Sin embargo, los servidores de correo web con amplia conectividad interna pueden enfrentar una mayor exposición. La publicación Roundcube 1.6.18 y 1.7.3 lanzados con solución para vulnerabilidades RCE y SSRF apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗