BDU:2024-05163

Опубликовано: 19 мая 2024

Источник: fstec

CVSS3: 6.1

CVSS2: 6.4

EPSS Высокий

Описание

Уязвимость почтового клиента RoundCube Webmail связана с недостаточной защитой структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить межсайтовые сценарные атаки с помощью атрибутов анимации элементов SVG

Вендор

Сообщество свободного программного обеспечения

Canonical Ltd.

ООО «Ред Софт»

The RoundCube Team

Наименование ПО

Debian GNU/Linux

Ubuntu

РЕД ОС

RoundCube Webmail

Версия ПО

10 (Debian GNU/Linux)

20.04 LTS (Ubuntu)

16.04 ESM (Ubuntu)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

22.04 LTS (Ubuntu)

18.04 ESM (Ubuntu)

23.10 (Ubuntu)

до 1.5.7 (RoundCube Webmail)

от 1.6.0 до 1.6.7 (RoundCube Webmail)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Canonical Ltd. Ubuntu 20.04 LTS

Canonical Ltd. Ubuntu 16.04 ESM

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

Canonical Ltd. Ubuntu 22.04 LTS

Canonical Ltd. Ubuntu 18.04 ESM

Canonical Ltd. Ubuntu 23.10

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для RoundCube Webmail:

https://github.com/roundcube/roundcubemail/commit/ba252dc5e2946506cb8d0b50b2b7bf95ab51876f

https://github.com/roundcube/roundcubemail/commit/43aaaa528646877789ec028d87924ba1accf5242

https://github.com/roundcube/roundcubemail/releases/tag/1.6.7

https://github.com/roundcube/roundcubemail/releases/tag/1.5.7

Для Ред ОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2024-37383

Для Ubuntu:

https://ubuntu.com/security/notices/USN-6848-1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 99%

0.721

Высокий

6.1 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

CVE-2024-37383

CVSS3: 6.1

ubuntu

около 1 года назад

Roundcube Webmail before 1.5.7 and 1.6.x before 1.6.7 allows XSS via SVG animate attributes.

CVE-2024-37383

redhat

около 1 года назад

Roundcube Webmail before 1.5.7 and 1.6.x before 1.6.7 allows XSS via SVG animate attributes.

CVE-2024-37383

CVSS3: 6.1

nvd

около 1 года назад

Roundcube Webmail before 1.5.7 and 1.6.x before 1.6.7 allows XSS via SVG animate attributes.

CVE-2024-37383

CVSS3: 6.1

debian

около 1 года назад

Roundcube Webmail before 1.5.7 and 1.6.x before 1.6.7 allows XSS via S ...

GHSA-8j3w-26mp-75xh

CVSS3: 6.1

github

около 1 года назад

Roundcube Webmail before 1.5.7 and 1.6.x before 1.6.7 allows XSS via SVG animate attributes.

EPSS

Процентиль: 99%

0.721

Высокий

6.1 Medium

CVSS3

6.4 Medium

CVSS2