PT-2022-24850 · Mailcow · Mailcow

CVE-2022-39258 · Publicado 2022-09-27 · Atualizado 2022-09-29

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do mailcow anteriores à 2022-09

Descrição

Uma vulnerabilidade no mailcow permite que um invasor crie um modelo personalizado de API Swagger para falsificar links de autorização, redirecionando potencialmente a vítima para um local controlado pelo invasor com o objetivo de roubar credenciais de autorização do Swagger ou criar uma página de phishing para roubar outras informações.

Recomendações

Para versões anteriores a 2022-09, atualize para a atualização Mootember 2022-09 do mailcow para resolver o problema.

Como solução alternativa temporária, considere excluir a documentação da API Swagger do servidor de e-mail para minimizar o risco de exploração.

Exploit

Correção

Information Disclosure

Open Redirect

UI Misrepresentation of Critical Information

Enumeração de Fraquezas

CWE-200

CWE-601

CWE-451

Identificadores relacionados

CVE-2022-39258

GHSA-VJGF-CP5P-WM45

Produtos afetados

Mailcow

Referências · 6

• 🔥 https://github.com/mailcow/mailcow-dockerized/security/advisories/GHSA-vjgf-cp5p-wm45 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/39xxx/CVE-2022-39258.json · Exploit
• https://github.com/mailcow/mailcow-dockerized/pull/4766 · Correção
• https://t.me/cibsecurity/50527 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-39258 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-39258 · Aviso do Fabricante