Roundcube CVE-2021-44026, una inyección SQL

Este repositorio contiene un exploit de demostración para una inyección SQL en Roundcube.

Aviso de exención de responsabilidad:

Este código está destinado únicamente a fines educativos y para ayudar a los equipos de seguridad a identificar vulnerabilidades en sus instancias de Roundcube. Solo debe utilizarse en compromisos de hacking ético en los que el profesional de seguridad tenga autorización por escrito para explotar éticamente los objetivos incluidos en el alcance. Los autores no se hacen responsables por el uso indebido o ilegal de este código de exploit.

Uso

usage: exploit.py [-h] smtp_server smtp_port sender_email sender_password target_email c2_server

Roundcube CVE-2020-35730 & CVE-2021-44026 exploit  

positional arguments:

  smtp_server      Sender SMTP server name

  smtp_port        Sender SMTP server port

  sender_email     Sender email address

  sender_password  Sender email password for logging into the SMTP server

  target_email     Target email address

  c2_server        The URL on which the C2 server will listen

  

optional arguments:

  -h, --help       show this help message and exit

Al ejecutarse, el código inicia un servidor Flask, c2_server en el código, que realiza el exploit en dos pasos:

1. Envía un correo electrónico a un objetivo desde una dirección de remitente determinada. Este correo contiene un exploit para otra vulnerabilidad de Roundcube, un XSS registrado como CVE-2020-35730. Lo utilizamos para enviar las solicitudes necesarias para la inyección SQL desde una sesión autenticada. Todo el código JavaScript que se ejecuta en el lado del cliente está en static/fetcher.js.
2. El código JavaScript extrae todas las sesiones de la base de datos y las envía de vuelta al servidor C2 como un VCARD. En el lado del servidor, las variables de sesión se extraen del VCARD. Para cada sesión autenticada, el código extrae los correos electrónicos más recientes recibidos.

Nota: Puedes usar una cuenta de Gmail como correo del remitente. Usa stmp.gmail.com como servidor y 587 como puerto. Configura una contraseña solo para este uso siguiendo la guía aquí.