Dépôt PoC CVE-2025-49113

Aperçu de CVE-2025-49113

CVE-2025-49113 est une vulnérabilité critique affectant les versions de Roundcube Webmail antérieures à 1.5.10 et 1.6.11. Découverte en 2025, cette faille permet l'exécution de code à distance (RCE) via une désérialisation d'objets PHP dans le point d'accès /settings/upload.php. La vulnérabilité provient d'un traitement inapproprié du paramètre _from, qui peut être exploité par des utilisateurs authentifiés pour exécuter du code arbitraire sur le serveur. Ce problème représente un risque important, car il pourrait permettre à des attaquants d'obtenir un accès non autorisé, de voler des données ou de compromettre entièrement le serveur. La vulnérabilité a été corrigée dans les versions Roundcube 1.5.10 (LTS) et 1.6.11, publiées dans le cadre des mises à jour de sécurité de juin 2025.

Description de l'exploit

Ce dépôt contient une preuve de concept (PoC) écrite en PHP pour démontrer la vulnérabilité CVE-2025-49113. Le script exploite la désérialisation d'objets PHP pour créer une charge utile malveillante qui écrit un fichier (test_poc.txt) sur le serveur cible. Voici comment cela fonctionne :

Configuration : Le script envoie une requête conçue au point d'accès /settings/upload.php de Roundcube avec une classe EvilObject sérialisée intégrée dans le paramètre _from.

Charge utile : La classe EvilObject définit un nom de fichier (par exemple /home/public_html/test_poc.txt) et un contenu avec un horodatage, exécutés via la méthode __destruct pour écrire le fichier lors de la désérialisation.

Exécution : À l'aide de cURL, le script s'authentifie avec un cookie roundcube_sessid valide et délivre la charge utile. Sur un serveur vulnérable, cela entraîne la création du fichier spécifié.

Résultat : Le succès est confirmé par un message « Fichier écrit avec succès », et la réponse du serveur est sauvegardée dans response.html à des fins de débogage.

Le PoC a été testé avec succès le 5 juin 2025, créant le fichier dans le répertoire public_html. Notez qu'un cookie de session valide est requis et que le chemin cible doit être accessible en écriture par l'utilisateur du serveur web.

Recommandations de sécurité

Pour atténuer les risques associés à CVE-2025-49113, suivez ces étapes :

• Mettre à jour Roundcube : Mettez immédiatement à niveau vers la version 1.5.10 (LTS) ou 1.6.11, qui incluent les correctifs pour cette vulnérabilité. Téléchargez la dernière version depuis roundcube.net.
• Restreindre l'accès : Limitez l'accès au point d'accès /settings/upload.php à l'aide d'un pare-feu d'application web (WAF) ou de règles .htaccess.
• Modifier les mots de passe : Mettez à jour les mots de passe de tous les utilisateurs Roundcube pour empêcher tout accès non autorisé.
• Surveiller les logs : Vérifiez régulièrement les logs du serveur (par exemple /var/log/litespeed/error.log) pour toute activité suspecte.
• Appliquer le moindre privilège : Assurez-vous que l'utilisateur du serveur web (par exemple www-data ou nobody) dispose de permissions minimales, et évitez de définir des droits d'écriture étendus (par exemple 0777) sur les répertoires sensibles.
• Désactiver les fonctionnalités inutilisées : Si possible, désactivez la fonctionnalité de téléchargement des paramètres si elle n'est pas nécessaire.

Avertissement : Ce PoC est à des fins éducatives uniquement. L'exploitation non autorisée de cette vulnérabilité est illégale et peut enfreindre les lois locales.

Rasool13x :)