MAL-004 : Contournement de l'injection de commande pour CVE-2020-12641 dans Roundcube Webmail

Un contournement a été trouvé pour "CVE-2020-12641 : Injection de commande via "_im_convert_path" dans Roundcube Webmail" affectant les versions antérieures à 1.4.5, 1.3.12.

La fonction php “escapeshellcmd”, implémentée pour empêcher “CVE-2020-12641 : Injection de commande via “_im_convert_path” paramètre”, effectue un assainissement insuffisant et ce “filtre” peut donc être contourné en utilisant :

• Options spécifiques à la commande (environnements Linux et Windows)
• Chemins SMB distants (uniquement dans les environnements Windows)

Une attaque réussie entraîne l'exécution de commandes système arbitraires dès qu'un utilisateur Roundcube valide ouvre un courrier contenant une image non standard.

Divulgation du fournisseur :

La divulgation et le correctif du fournisseur pour cette vulnérabilité peuvent être trouvés ici.

Pourquoi pas de CVE ?

Ce contournement a été inclus comme “meilleur correctif pour CVE-2020-12641” et n'a pas reçu d'identifiant CVE séparé.

Exigences :

Cette vulnérabilité nécessite :

• Accès au composant d'installation de Roundcube Webmail
• Attendre qu'un utilisateur Roundcube ouvre un e-mail contenant une image non standard