MAL-004: Command-Injection-Bypass für CVE-2020-12641 in Roundcube Webmail

Es wurde ein Bypass für „CVE-2020-12641: Command Injection via „_im_convert_path“ in Roundcube Webmail“ gefunden, der Versionen vor 1.4.5 und 1.3.12 betrifft.

Die PHP-Funktion „escapeshellcmd“, die zur Verhinderung von „CVE-2020-12641: Command Injection über den Parameter „_im_convert_path““ implementiert wurde, führt eine unzureichende Bereinigung durch, und daher kann dieser „Filter“ umgangen werden durch:

• Befehlsspezifische Flags (sowohl in Linux- als auch in Windows-Umgebungen)
• Remote-SMB-Pfade (nur in Windows-Umgebungen)

Ein erfolgreicher Angriff führt zur Ausführung beliebiger Systembefehle, sobald ein gültiger Roundcube-Benutzer eine E-Mail mit einem nicht standardkonformen Bild öffnet.

Offenlegung durch den Hersteller:

Die Offenlegung und der Fix des Herstellers für diese Schwachstelle sind hier zu finden.

Warum keine CVE?

Dieser Bypass wurde als „bessere Korrektur für CVE-2020-12641“ aufgenommen und erhielt keine separate CVE-ID.

Voraussetzungen:

Diese Schwachstelle erfordert:

• Zugriff auf die Installationskomponente von Roundcube Webmail
• Das Warten darauf, dass ein Roundcube-Benutzer eine E-Mail mit einem nicht standardkonformen Bild öffnet

Proof of Concept: