Bulletin d'alerte du CERT-FR
Objet : Multiples vulnérabilités dans Roundcube
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Injection de code indirecte à distance (XSS)
Systèmes affectés
- Roundcube Webmail versions 1.5.x antérieures à 1.5.8
- Roundcube Webmail versions 1.6.x antérieures à 1.6.8
Résumé
Le 4 août 2024, Roundcube a publié des correctifs concernant les vulnérabilités critiques CVE-2024-42008 et CVE-2024-42009 affectant son serveur de courriel.
Ces vulnérabilités permettent des injections de code indirectes à distance (XSS) qui peuvent, par exemple, conduire à la récupération du contenu des courriels de l'utilisateur. De plus, l’attaquant peut également être en mesure d’envoyer des courriels en se faisant passer pour la victime.
La vulnérabilité CVE-2024-42009 peut être exploitée par une simple ouverture du courriel piégé tandis que la vulnérabilité CVE-2024-42008 nécessite que l’utilisateur effectue une action supplémentaire.
Roundcube est un produit en source ouverte et les correctifs sont accessibles publiquement. Le CERT-FR anticipe donc la publication à court terme de codes d’exploitation publics. Des vulnérabilités de ce type ont été activement exploitées sur des serveurs Roundcube Webmail par le passé.
Solutions
Les versions correctives 1.6.8 et 1.5.8 LTS ont été publiées.
De plus, l'exploitation des vulnérabilités nécessite l'ouverture des courriels voire de cliquer sur des éléments qu'ils contiennent. Le CERT-FR recommande donc de limiter au maximum l'interaction avec des messages d'origine non vérifiée.
Documentation
-
Bulletin de sécurité Roundcube du 04 août 2024
https://roundcube.net/news/2024/08/04/security-updates-1.6.8-and-1.5.8 -
Avis CERTFR-2024-AVI-0647 du 5 août 2024
/avis/CERTFR-2024-AVI-0647/ -
Référence CVE CVE-2024-42008
https://www.cve.org/CVERecord?id=CVE-2024-42008 -
Référence CVE CVE-2024-42009
https://www.cve.org/CVERecord?id=CVE-2024-42009 -
Référence CVE CVE-2024-42010
https://www.cve.org/CVERecord?id=CVE-2024-42010
Gestion détaillée du document
| Date | Description |
|---|---|
| 09 août 2024 | Version initiale |
| 07 octobre 2024 | Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante. |