Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-06254

Опубликовано: 18 июн. 2024
Источник: fstec
CVSS3: 6.1
CVSS2: 6.4
EPSS Низкий

Описание

Уязвимость функции rcmail_action_mail_get->run() почтового клиента RoundCube Webmail существует из-за непринятия мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, провести атаку межсайтового скриптинга (XSS) путем отправки специально созданных вредоносных вложений

Вендор

Novell Inc.
Сообщество свободного программного обеспечения
ООО «Ред Софт»
The RoundCube Team

Наименование ПО

openSUSE Tumbleweed
Debian GNU/Linux
РЕД ОС
RoundCube Webmail

Версия ПО

- (openSUSE Tumbleweed)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
7.3 (РЕД ОС)
от 1.6.0 до 1.6.8 (RoundCube Webmail)
до 1.5.8 (RoundCube Webmail)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Novell Inc. openSUSE Tumbleweed -
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Roundcube Webmail:
https://github.com/roundcube/roundcubemail/releases
https://github.com/roundcube/roundcubemail/releases/tag/1.5.8
https://github.com/roundcube/roundcubemail/releases/tag/1.6.8
https://roundcube.net/news/2024/08/04/security-updates-1.6.8-and-1.5.8
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-42008
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2024-42008.html
Компенсирующие меры:
- использование средств антивирусной защиты с функционалом контроля электронной почты для отслеживания попыток эксплуатации уязвимости;
- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к программному продукту;
- использование виртуальных частных сетей для организации удаленного доступа (VPN).
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 88%
0.04154
Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

redos логотип

ROS-20240826-17

CVSS3: 9.3
redos
10 месяцев назад

Множественные уязвимости roundcubemail

ubuntu логотип

CVE-2024-42008

CVSS3: 9.3
ubuntu
11 месяцев назад

A Cross-Site Scripting vulnerability in rcmail_action_mail_get->run() in Roundcube through 1.5.7 and 1.6.x through 1.6.7 allows a remote attacker to steal and send emails of a victim via a malicious e-mail attachment served with a dangerous Content-Type header.

nvd логотип

CVE-2024-42008

CVSS3: 9.3
nvd
11 месяцев назад

A Cross-Site Scripting vulnerability in rcmail_action_mail_get->run() in Roundcube through 1.5.7 and 1.6.x through 1.6.7 allows a remote attacker to steal and send emails of a victim via a malicious e-mail attachment served with a dangerous Content-Type header.

debian логотип

CVE-2024-42008

CVSS3: 9.3
debian
11 месяцев назад

A Cross-Site Scripting vulnerability in rcmail_action_mail_get->run() ...

github логотип

GHSA-78jf-j6qx-c7j3

CVSS3: 9.3
github
11 месяцев назад

A Cross-Site Scripting vulnerability in rcmail_action_mail_get->run() in Roundcube through 1.5.7 and 1.6.x through 1.6.7 allows a remote attacker to steal and send emails of a victim via a malicious e-mail attachment served with a dangerous Content-Type header.

EPSS

Процентиль: 88%
0.04154
Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2