Investigadores de ciberseguridad han revelado detalles de fallos de seguridad en el software de correo web Roundcube que podrían aprovecharse para ejecutar JavaScript malicioso en el navegador web de una víctima y robar información sensible de su cuenta en determinadas circunstancias.
"Cuando una víctima visualiza un correo electrónico malicioso en Roundcube enviado por un atacante, éste puede ejecutar JavaScript arbitrario en el navegador de la víctima", afirma la empresa de ciberseguridad Sonar en un análisis publicado esta semana.
"Los atacantes pueden abusar de la vulnerabilidad para robar correos electrónicos, contactos y la contraseña de correo electrónico de la víctima, así como enviar correos electrónicos desde la cuenta de la víctima".
Tras la revelación responsable el 18 de junio de 2024, las tres vulnerabilidades se han solucionado en las versiones 1.6.8 y 1.5.8 de Roundcube, publicadas el 4 de agosto de 2024.
La lista de vulnerabilidades es la siguiente
- CVE-2024-42008 - Un fallo de cross-site scripting a través de un adjunto de correo electrónico malicioso servido con una cabecera Content-Type peligrosa.
- CVE-2024-42009 - Un fallo de cross-site scripting que surge del post-procesamiento de contenido HTML desinfectado.
- CVE-2024-42010 - Un fallo de revelación de información derivado de un filtrado insuficiente de CSS.
La explotación exitosa de las fallas antes mencionadas podría permitir a atacantes no autenticados robar correos electrónicos y contactos, así como enviar correos electrónicos desde la cuenta de una víctima, pero después de ver un correo electrónico especialmente diseñado en Roundcube.
"Los atacantes pueden obtener un punto de apoyo persistente en el navegador de la víctima a través de reinicios, lo que les permite exfiltrar correos electrónicos de forma continua o robar la contraseña de la víctima la próxima vez que se introduzca", dijo el investigador de seguridad Oskar Zeino-Mahmalat.
"Para que un ataque tenga éxito, no se requiere ninguna interacción del usuario más allá de ver el correo electrónico del atacante para explotar la vulnerabilidad XSS crítica (CVE-2024-42009). En el caso de CVE-2024-42008, se necesita un solo clic de la víctima para que el exploit funcione, pero el atacante puede hacer que esta interacción no sea evidente para el usuario."
Se han omitido detalles técnicos adicionales sobre los problemas para dar tiempo a los usuarios a actualizar a la última versión, y a la luz del hecho de que los fallos en el software de correo web han sido explotados en repetidas ocasiones por actores de estado-nación como APT28, Winter Vivern y TAG-70.
Los hallazgos llegan cuando han surgido detalles sobre un fallo de escalada de privilegios local de máxima gravedad en el proyecto de código abierto RaspAP (CVE-2024-41637, puntuación CVSS: 10,0) que permite a un atacante elevarse a root y ejecutar varios comandos críticos. La vulnerabilidad se ha solucionado en la versión 3.1.5.
"El usuario www-data tiene acceso de escritura al archivo restapi.service y también posee privilegios sudo para ejecutar varios comandos críticos sin una contraseña", dijo un investigador de seguridad que se hace llamar 0xZon1. "Esta combinación de permisos permite a un atacante modificar el servicio para ejecutar código arbitrario con privilegios de root, escalando su acceso de www-data a root".
Fuente: thehackernews