PT-2024-5037 · Mailcow · Mailcow

Alchemist · Publicado 2024-04-04 · Atualizado 2025-10-06 · CVE-2024-30270

Positive Technologies (AI Summary) · Pt

CVSS v2.0

8.7

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:P

Nome do software vulnerável e versões afetadas:

mailcow: versões em Docker anteriores a abril de 2024

Descrição:

O problema está relacionado à função rspamd maps() e envolve validação incorreta de caminho, permitindo traversal de caminho e execução de código arbitrário. Isso pode permitir que um usuário administrador autenticado sobrescreva qualquer arquivo gravável pelo usuário www-data, levando potencialmente à execução de comandos arbitrários no servidor.

Recomendações:

Para versões anteriores a 2024-04, atualize para a versão 2024-04 ou posterior, que contém um patch para o problema. Como solução temporária, considere restringir o acesso à função rspamd maps() para minimizar o risco de exploração. Além disso, certifique-se de que controles de acesso e permissões adequados estejam em vigor para o usuário www-data, a fim de impedir a sobrescrita não autorizada de arquivos.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BDU:2024-05564

CVE-2024-30270

GHSA-4M8R-87GC-3VVP

Produtos afetados

Mailcow

Referências · 24

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/30xxx/CVE-2024-30270.json · Exploit
• 🔥 https://github.com/Alchemist3dot14/CVE-2024-30270-PoC · Exploit
• 🔥 https://sonarsource.com/blog/remote-code-execution-in-mailcow-always-sanitize-error-messages · Exploit
• 🔥 https://vicarius.io/vsociety/posts/mailcow-with-xss-and-path-traversal-cve-2024-31204-and-cve-2024-30270 · Exploit
• https://github.com/mailcow/mailcow-dockerized/security/advisories/GHSA-4m8r-87gc-3vvp · Aviso do Fabricante
• https://twitter.com/rfwaveio/status/1803950887443816652 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2024-05564 · Nota de Segurança
• https://mailcow.email/posts/2024/release-2024-04 · Nota
• https://osv.dev/vulnerability/CVE-2024-30270 · Aviso do Fabricante
• https://twitter.com/gossy_84/status/1803872970722447730 · Publicação no Twitter
• https://twitter.com/axcheron/status/1809347629039431763 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-30270 · Nota de Segurança
• https://twitter.com/gossy_84/status/1803872969787089312 · Publicação no Twitter
• https://t.me/defcon_news/124353 · Publicação no Telegram
• https://t.me/aptreports/10663 · Publicação no Telegram