Roundcube是一款被廣泛使用的開源的Web電子郵件程序，在全球范圍內(nèi)有很多組織和公司都在使用。Roundcube Webmail在Linux中最常用,它提供了基于Web瀏覽器的可換膚IMAP客戶端，并提供多種語言。功能包括MIME支持，通訊簿，文件夾和郵件搜索功能。Roundcube支持各種郵件協(xié)議,如IMAPS、POP3S 或者 submission,可以管理多個(gè)郵箱賬號.

不過，Roundcube Webmail 1.4.8之前版本中存在跨站腳本漏洞。

漏洞詳情

跨站腳本(XSS)漏洞 （CVE-2020-16145）

跨站腳本(XSS)攻擊通常指的是通過利用網(wǎng)頁開發(fā)時(shí)留下的漏洞，通過巧妙的方法注入惡意指令代碼到網(wǎng)頁，使用戶加載并執(zhí)行攻擊者惡意制造的網(wǎng)頁程序。這些惡意網(wǎng)頁程序通常是JavaScript，但實(shí)際上也可以包括Java、 VBScript、ActiveX、 Flash 或者甚至是普通的HTML。攻擊成功后，攻擊者可能得到包括但不限于更高的權(quán)限（如執(zhí)行一些操作）、私密網(wǎng)頁內(nèi)容、會(huì)話和cookie等各種內(nèi)容。

該漏洞源于WEB應(yīng)用缺少對客戶端數(shù)據(jù)的正確驗(yàn)證。該漏洞主要包含：

1.標(biāo)識(shí)簽名輸入的HTML編輯器中可能存在跨站點(diǎn)腳本

2.帶有惡意svg內(nèi)容的HTML消息的跨站點(diǎn)腳本

3.帶有惡意數(shù)學(xué)內(nèi)容的HTML消息跨站點(diǎn)腳本

Roundcube使用Washtml HTML清理程序的自定義版本在電子郵件中顯示不受信任的HTML代碼。其中一個(gè)修改是為svg標(biāo)記包含一個(gè)異常，以正確處理XML命名空間。但是，處理協(xié)議中的漏洞會(huì)導(dǎo)致清理檢查失敗。這可以通過JavaScript負(fù)載濫用命名空間屬性進(jìn)行攻擊。例如通過包含HTML onload事件的惡意電子郵件來利用此漏洞。如果觸發(fā)，則可能導(dǎo)致存儲(chǔ)的XSS攻擊。

成功的攻擊允許在經(jīng)過身份驗(yàn)證的受害者會(huì)話的上下文中執(zhí)行任意JavaScript代碼，從而基本上模擬了登錄的用戶。這賦予了攻擊者與合法用戶相同的權(quán)力，包括但不限于：閱讀和刪除郵件，代表受害者發(fā)送電子郵件，訪問地址列表，以及進(jìn)行垃圾郵件運(yùn)動(dòng)。攻擊者可以從個(gè)人信件中獲取其他敏感信息，這些信息可能使惡意行為者能夠訪問外部服務(wù)，例如純文本憑據(jù)和確認(rèn)電子郵件。

解決方案

該漏洞已在Roundcube 1.4.8中修復(fù)。

?

查看漏洞詳細(xì)信息 以及升級請?jiān)L問官網(wǎng)：

https://github.com/roundcube/roundcubemail/releases/tag/1.4.8

[超站]友情鏈接：

四季很好，只要有你，文娛排行榜：https://www.yaopaiming.com/
關(guān)注數(shù)據(jù)與安全，洞悉企業(yè)級服務(wù)市場：https://www.ijiandao.com/