PT-2020-3643 · Roundcube+3 · Roundcube Webmail+3

Xudongzheng · Publicado 2020-04-30 · Atualizado 2024-03-06 · CVE-2020-12626

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.1

Alta

Vetor base

AV:N/AC:M/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

Versões do Roundcube Webmail anteriores à 1.4.4

Descrição

O problema está relacionado a um ataque CSRF que pode fazer com que um usuário autenticado seja desconectado. Isso ocorre porque o método POST não foi levado em consideração, resultando em proteção insuficiente contra falsificação de solicitações entre sites. A exploração dessa vulnerabilidade pode permitir que um invasor remoto provoque uma negação de serviço.

Recomendações

Para versões anteriores à 1.4.4, atualize para a versão 1.4.4 ou posterior para resolver o problema. Como solução temporária, considere implementar medidas adicionais de proteção contra CSRF para minimizar o risco de exploração.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

ALT-PU-2020-1898

ALT-PU-2020-2367

BDU:2020-03991

BIT-ROUNDCUBE-2020-12626

CVE-2020-12626

DSA-4674-1

MGASA-2020-0206

USN-5182-1

Produtos afetados

Alt Linux

Linuxmint

Roundcube Webmail

Ubuntu

Referências · 39

• 🔥 https://github.com/roundcube/roundcubemail/pull/7302 · Exploit
• 🔥 https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-12640-PHP%20Local%20File%20Inclusion-Roundcube · Exploit
• 🔥 https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-12641-Command%20Injection-Roundcube · Exploit
• 🔥 https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-12625-Cross%20Site-Scripting%20via%20Malicious%20HTML%20Attachment-Roundcube · Exploit
• 🔥 https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-13965-Cross%20Site-Scripting%20via%20Malicious%20XML%20Attachment-Roundcube · Exploit
• 🔥 https://github.com/pentesttoolscom/roundcube-cve-2021-44026 · Exploit
• https://github.com/roundcube/roundcubemail/compare/1.4.3...1.4.4 · Correção
• https://github.com/roundcube/roundcubemail/releases/tag/1.4.4 · Nota
• https://github.com/roundcube/roundcubemail/commit/9bbda422ff0b782b81de59c86994f1a5fd93f8e6 · Correção
• https://github.com/roundcube/roundcubemail/releases/tag/1.3.11 · Nota
• https://ubuntu.com/security/CVE-2021-44025 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-12626 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-12626 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2020-12626 · Nota de Segurança
• https://ubuntu.com/security/CVE-2020-12625 · Aviso do Fabricante