• IT-Karriere:
  • Services:

Webmailer: Mit einer Mail Code in Roundcube ausführen

Eine Sicherheitslücke im Mailpaket Roundcube kann durch eine präparierte Mail ausgenutzt werden. Wegen mangelnder Bereinigung von Befehlen können Angreifer Code in das System einschleusen und zur Ausführung bringen.

Artikel veröffentlicht am ,
Das Roundcube-Logo.
Das Roundcube-Logo. (Bild: Roundcube)

Das Open Source Webmailpaket Roundcube kann mit einer speziell präparierten Mail gezielt angegriffen werden. Ein Patch auf Version 1.2.3. soll das Problem beheben. Das Problem wurde von der Sicherheitsfirma Rips Technologies gefunden.

Stellenmarkt
  1. Vinci Energies Deutschland ICT GmbH, Ulm
  2. dSPACE GmbH, Paderborn

Damit der Exploit funktioniert, muss Roundcube die PHP-Funktion mail() nutzen, diese muss außerdem so konfiguriert sein, dass sendmail genutzt wird. Außerdem muss der PHP safe_mode deaktiviert sein. Nach Angaben der Forscher gab es viele verwundbare Systeme in freier Wildbahn.

Keine richtige Bereinigung

Roundcube in den Versionen 1.2.2 und früher bereinigt den fünften Input für das Mail-Argument nicht richtig (not sanitized). Wird die Mail-Funktion von PHP and sendmail übergeben, können mit dem fünften Argument weitere Befehle zur Ausführung übergeben werden. Mit dem Parameter -x können Mails mitgeloggt werden. Kennt der Angreifer den direkten Pfad des Webroot-Verzeichnisses, kann der Angriff gestartet werden.

Mit einer präparierten Mail kann dann eine PHP-Datei im Webroot-Verzeichnis angelegt werden. Dazu muss der Befehl example@example.com -OQueueDirectory=/tmp -X/var/www/html/rce.php in einer E-Mail mitgesendet werden. Im Post der Forscher heißt es dazu: "Weil die E-Mail-Daten nicht codiert sind, werden die Subject-Parameter im Klartext angezeigt, so dass PHP-Tags in die Shell-Datei eingeschleust werden können."

Das Roundcube-Team wurde am 21.11.2016 auf den Fehler aufmerksam gemacht, bereits am 22.11. wurde der Fehler behoben. Am 28.11. wurde die Schwachstelle in gegenseitigem Einverständnis veröffentlicht. Der Patch ist auf Github verfügbar, außerdem gibt es ein Changelog. Auch für die Version 1.1.7 liegt ein Patch vor.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. 320,09€ (Bestpreis!)
  2. 159,99€
  3. 179,99€ (Bestpreis!)
  4. 429€ (Vergleichspreis 478€)

TheUnichi 07. Dez 2016

Dann schreib das ganze doch bitte an roundcube und deren Installationslogik bzw. an die...

hg (Golem.de) 07. Dez 2016

DAnke für den Hinweis, ist korrigiert. Vg,


Folgen Sie uns
       


Besuch beim Cyberbunker

Wir haben uns den ominösen Cyberbunker an der Mosel oberhalb von Traben-Trarbach von außen angeschaut.

Besuch beim Cyberbunker Video aufrufen
Vivo X51 im Test: Vivos gelungener Deutschland-Start hat eine Gimbal-Kamera
Vivo X51 im Test
Vivos gelungener Deutschland-Start hat eine Gimbal-Kamera

Das Vivo X51 hat eine gute Kamera mit starker Bildstabilisierung und eine vorbildlich zurückhaltende Android-Oberfläche. Der Startpreis in Deutschland könnte aber eine Herausforderung für den Hersteller sein.
Ein Test von Tobias Költzsch

  1. Software-Entwicklung Google veröffentlicht Android Studio 4.1
  2. Jetpack Compose Android bekommt neues UI-Framework
  3. Google Android bekommt lokale Sharing-Funktion

SSD vs. HDD: Die Zeit der Festplatte im Netzwerkspeicher läuft ab
SSD vs. HDD
Die Zeit der Festplatte im Netzwerkspeicher läuft ab

SSDs in NAS-Systemen sind lautlos, energieeffizient und schneller: Golem.de untersucht, ob es eine neue Referenz für Netzwerkspeicher gibt.
Ein Praxistest von Oliver Nickel

  1. Firecuda 120 Seagate bringt 4-TByte-SSD für Spieler

Big Blue Button: Das große blaue Sicherheitsrisiko
Big Blue Button
Das große blaue Sicherheitsrisiko

Kritische Sicherheitslücken, die Golem.de dem Entwickler der Videochat-Software Big Blue Button meldete, sind erst nach Monaten geschlossen worden.
Eine Recherche von Hanno Böck


      •  /