MAL-004: Bypass de Inyección de Comandos para CVE-2020-12641 en Roundcube Webmail

Se encontró un bypass para "CVE-2020-12641: Inyección de Comandos a través de "_im_convert_path" en Roundcube Webmail" que afecta a versiones anteriores a 1.4.5, 1.3.12.

La función php “escapeshellcmd”, implementada para prevenir "CVE-2020-12641: Inyección de Comandos a través del Parámetro “_im_convert_path”", realiza una desinfección insuficiente y, por lo tanto, este “filtro” puede ser evadido mediante el uso de:

• Banderas específicas de comandos (tanto en entornos Linux como Windows)
• Rutas SMB remotas (solo en entornos Windows)

Un ataque exitoso resulta en la ejecución de comandos arbitrarios del sistema cuando un usuario válido de Roundcube abre un correo que contiene una imagen no estándar.

Divulgación del Proveedor:

La divulgación y la corrección de esta vulnerabilidad por parte del proveedor se pueden encontrar aquí.

¿Por qué no hay CVE?

Este bypass se incluyó como una "mejor corrección para CVE-2020-12641" y no se le asignó un CVE-ID separado.

Requisitos:

Esta vulnerabilidad requiere:

• Acceso al componente instalador de Roundcube Webmail
• Esperar a que un usuario de Roundcube abra un correo electrónico que contenga una imagen no estándar

Prueba de Concepto:

Más detalles y el proceso de explotación se pueden encontrar en este PDF.

Recursos Adicionales:

Vulnerabilidad inicial (CVE-2020-12641) y divulgación en GitHub