Abo
  • Services:
Anzeige
Das Roundcube-Logo.
Das Roundcube-Logo. (Bild: Roundcube)

Webmailer: Mit einer Mail Code in Roundcube ausführen

Das Roundcube-Logo.
Das Roundcube-Logo. (Bild: Roundcube)

Eine Sicherheitslücke im Mailpaket Roundcube kann durch eine präparierte Mail ausgenutzt werden. Wegen mangelnder Bereinigung von Befehlen können Angreifer Code in das System einschleusen und zur Ausführung bringen.

Das Open Source Webmailpaket Roundcube kann mit einer speziell präparierten Mail gezielt angegriffen werden. Ein Patch auf Version 1.2.3. soll das Problem beheben. Das Problem wurde von der Sicherheitsfirma Rips Technologies gefunden.

Anzeige

Damit der Exploit funktioniert, muss Roundcube die PHP-Funktion mail() nutzen, diese muss außerdem so konfiguriert sein, dass sendmail genutzt wird. Außerdem muss der PHP safe_mode deaktiviert sein. Nach Angaben der Forscher gab es viele verwundbare Systeme in freier Wildbahn.

Keine richtige Bereinigung

Roundcube in den Versionen 1.2.2 und früher bereinigt den fünften Input für das Mail-Argument nicht richtig (not sanitized). Wird die Mail-Funktion von PHP and sendmail übergeben, können mit dem fünften Argument weitere Befehle zur Ausführung übergeben werden. Mit dem Parameter -x können Mails mitgeloggt werden. Kennt der Angreifer den direkten Pfad des Webroot-Verzeichnisses, kann der Angriff gestartet werden.

Mit einer präparierten Mail kann dann eine PHP-Datei im Webroot-Verzeichnis angelegt werden. Dazu muss der Befehl example@example.com -OQueueDirectory=/tmp -X/var/www/html/rce.php in einer E-Mail mitgesendet werden. Im Post der Forscher heißt es dazu: "Weil die E-Mail-Daten nicht codiert sind, werden die Subject-Parameter im Klartext angezeigt, so dass PHP-Tags in die Shell-Datei eingeschleust werden können."

Das Roundcube-Team wurde am 21.11.2016 auf den Fehler aufmerksam gemacht, bereits am 22.11. wurde der Fehler behoben. Am 28.11. wurde die Schwachstelle in gegenseitigem Einverständnis veröffentlicht. Der Patch ist auf Github verfügbar, außerdem gibt es ein Changelog. Auch für die Version 1.1.7 liegt ein Patch vor.


eye home zur Startseite
TheUnichi 07. Dez 2016

Dann schreib das ganze doch bitte an roundcube und deren Installationslogik bzw. an die...

hg (Golem.de) 07. Dez 2016

DAnke für den Hinweis, ist korrigiert. Vg,



Anzeige

Stellenmarkt
  1. Daimler AG, Sindelfingen
  2. Empolis Information Management GmbH, Kaiserslautern
  3. über Hays AG, Raum Hannover/Hildesheim
  4. Stadtwerke Karlsruhe GmbH, Karlsruhe


Anzeige
Top-Angebote
  1. 149,90€
  2. 77,00€ inkl. Versand im Idealo-Preisvergleich
  3. (heute u. a. Logitech Gaming-Produkte, Philips-TVs, Garmin-Produkte, Philips Hue Starter Set, Filme...

Folgen Sie uns
       


  1. Firefox

    Mozilla verärgert Nutzer mit ungefragter Addon-Installation

  2. Knights Mill

    Intel hat drei Xeon Phi für Deep Learning

  3. Windows 10

    Kritische Lücke in vorinstalliertem Passwortmanager

  4. Kaufberatung

    Die richtige CPU und Grafikkarte

  5. Bandai Namco

    Black Clover und andere Anime-Neuheiten

  6. Panono

    Crowdfunder können Kamera zu Produktionskosten kaufen

  7. Elon Musk

    The Boring Company baut einen Tunnel in Maryland

  8. Chinesischer Anbieter

    NIO will Elektro-SUV mit Wechsel-Akku anbieten

  9. Chipkarten-Hersteller

    Thales übernimmt Gemalto

  10. Porsche

    Betriebsratschef will E-Mails in der Freizeit löschen lassen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Star Wars - Die letzten Jedi: Viel Luke und zu viel Unfug
Star Wars - Die letzten Jedi
Viel Luke und zu viel Unfug
  1. Star Wars Jedi Challenges im Test Lichtschwertwirbeln im Wohnzimmer
  2. Star Wars Neue Trilogie ohne Skywalker und Darth Vader angekündigt
  3. Electronic Arts Entwicklungsneustart für Star Wars Ragtag

360-Grad-Kameras im Vergleich: Alles so schön rund hier
360-Grad-Kameras im Vergleich
Alles so schön rund hier
  1. USB-C DxO zeigt Ansteckkamera für Android-Smartphones
  2. G1 X Mark III Erste Kompaktkamera mit APS-C-Sensor von Canon
  3. Ozo Nokia hat keine Lust mehr auf VR-Hardware

E-Ticket Deutschland bei der BVG: Bewegungspunkt am Straßenstrich
E-Ticket Deutschland bei der BVG
Bewegungspunkt am Straßenstrich
  1. Handy-Ticket in Berlin BVG will Check-in/Be-out-System in Bussen testen
  2. VBB Schwarzfahrer trotz Handy-Ticket

  1. Re: Das neue Topmodel von nVidia ist nicht die...

    Micki | 13:57

  2. Re: Warum?

    kendon | 13:56

  3. Re: An die Experten: Macht ein Aufrüsten Sinn?

    itse | 13:56

  4. Re: Irgendwie glaube ich der Telekom nicht.

    atikalz | 13:54

  5. Re: Ich fühle mich nun wirklich sicher!

    Hotohori | 13:54


  1. 13:35

  2. 12:49

  3. 12:32

  4. 12:00

  5. 11:57

  6. 11:26

  7. 11:00

  8. 10:45


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel