Poważne podatności w kliencie pocztowym

24 maja br. Roundcube poinformował o poprawkach bezpieczeństwa wdrożonych w wersjach 1.16.16 i 1.7. Producent przekazał informacje o wykryciu wielu poważnych podatności, takich jak m.in.:

• SQL injection (wstrzyknięcie zapytań SQL) bez konieczności uprzedniego uwierzytelnienia się (ang. pre-auth);
• możliwość obejścia zabezpieczeń SSRF (ang. Server Side Request Forgery - wysyłanie zapytań jako serwer);
• możliwość wstrzykiwania kodu (ang. code injection);
• cross site-scripting (XSS) w polu okna przywracania szkicu (uruchomienie po stronie użytkownika kodu wskazanego przez atakującego).

Roundcube rekomenduje niezwłoczne zaaktualizowanie oprogramowania.

CERT Polska apeluje

28 maja br. CERT Polska wydał komunikat do administratorów odnośnie omawianych podatności.

„W przypadku korzystania z podatnych wersji Roundcube rekomendujemy jak najszybsze zainstalowanie najnowszych poprawek” – stwierdzono.

CERT Polska podkreślił, że w przeszłości podobne luki w oprogramowaniu były wykorzystywane do przejmowania skrzynek pocztowych i wykradania korespondencji.

„(wykorzystanie dwóch podatności – przyp. red.) może prowadzić do pełnego przejęcia infrastruktury atakowanej organizacji” – stwierdził CERT w komunikacie z początku czerwca 2025 roku, wskazując na prowadzenie aktywnej kampanii przez UNC1151 – podmiot łączony z Białorusią.

Niedługo później Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa Krzysztof Gawkowski wydał rekomendację dla podmiotów KSC, związaną z wspomnianą wcześniej kampanią.

„Aktualizacja usuwa podatności, które mogą prowadzić do kradzieży poświadczeń lub zdalnego wykonania kodu na serwerze” – stwierdzono.

Co dalej?

Niezmiennie powinniśmy regularnie aktualizować oprogramowanie oraz stosować dwuetapowe uwierzytelnianie.

W przypadku otrzymania podejrzanych e-maili warto zgłosić je do właściwego CSIRT-u, w przypadku większości podmiotów będzie nim CERT Polska.

W lipcu 2025 roku na łamach CyberDefence24 opisaliśmy kampanię cyberprzestępców, która wykorzystywała rzekome potwierdzenie opłacenia składki członkowskiej dużej partii politycznej. Autor opracowania sugerował, że metody atakujących są zbliżone do UNC1151 czy FrostyNeighbour – grup, którym przypisuje się współpracę z Białorusią.

Dane z skrzynek mailowych potrafią być wykradane „po cichu” za pomocą przekierowań, co opisywaliśmy w styczniu br.

Wszystkim osobom korzystającym z Roundcube Webmail zalecamy aktualizację oprogramowania.