CVE-2025-49113 - Roundcube Webmail Remote Code Execution Vulnerability

तकनीकी अवलोकन

CVE-2025-49113 Roundcube Webmail में एक गंभीर असुरक्षित डिसीरियलाइज़ेशन भेद्यता है जो प्रमाणित उपयोगकर्ताओं को दूरस्थ कोड निष्पादन में सक्षम बनाती है। यह भेद्यता फ़ाइल अपलोड संचालन के दौरान सीरियलाइज़्ड PHP ऑब्जेक्ट्स के अनुचित प्रबंधन से उत्पन्न होती है।

भेद्यता विश्लेषण

• मूल कारण: फ़ाइल अपलोड कार्यक्षमता में उपयोगकर्ता-नियंत्रित डेटा का असुरक्षित डिसीरियलाइज़ेशन
• आक्रमण वेक्टर: दुर्भावनापूर्ण सीरियलाइज़्ड PHP ऑब्जेक्ट युक्त निर्मित फ़ाइल अपलोड अनुरोध
• तकनीकी विवरण:
  • program/steps/mail/attach.inc में मौजूद
  • उचित सत्यापन के बिना _file पैरामीटर मेटाडेटा को संसाधित करता है
  • दो इंजेक्शन तकनीकों को जोड़ता है:
    1. _form पैरामीटर के माध्यम से PHP सत्र इंजेक्शन
    2. filename पैरामीटर के माध्यम से दुर्भावनापूर्ण ऑब्जेक्ट इंजेक्शन

प्रभावित संस्करण

• Roundcube Webmail 1.5.0 से 1.5.9 तक
• Roundcube Webmail 1.6.0 से 1.6.10 तक

शोषण के लिए पूर्वापेक्षाएँ

• PHP 7.0 या उच्चतर
• cURL एक्सटेंशन सक्षम
• वैध प्रमाणित सत्र क्रेडेंशियल्स
• फ़ाइल अपलोड कार्यक्षमता तक पहुँच

शोषण तंत्र

तकनीकी कार्यप्रवाह

1. संस्करण सत्यापन: प्रतिक्रिया पैटर्न के माध्यम से कमजोर संस्करण की पुष्टि
2. प्रमाणीकरण बाईपास: प्रमाणीकरण के लिए प्रदान की गई सत्र कुकीज़ का उपयोग
3. पेलोड वितरण:
   • PNG छवि के साथ multipart/form-data अनुरोध तैयार करना
   • फ़ाइलनाम पैरामीटर में दुर्भावनापूर्ण सीरियलाइज़्ड PHP ऑब्जेक्ट इंजेक्ट करना
   • _form पैरामीटर के माध्यम से सत्र हेरफेर इंजेक्ट करना
4. डिसीरियलाइज़ेशन ट्रिगर करना:
   • फ़ाइल प्रसंस्करण के दौरान कमजोर डिसीरियलाइज़ेशन रूटीन
   • ऑब्जेक्ट अनसीरियलाइज़ेशन के दौरान गैजेट श्रृंखला निष्पादन
5. कमांड निष्पादन: शेल कमांड निष्पादन के लिए system() फ़ंक्शन का लाभ उठाना

कोड निष्पादन प्रवाह

// Simplified exploitation flow
$target_url = $base_url . "?_task=mail&_action=upload&_form=injected_session_data";
$post_data = [
    '_file' => '{"name":"malicious_object_gadget","path":"..."}',
    'file' => curl_file_create('fake.png', 'image/png', 'exploit.png')
];
$response = curl_exec($target_url, $post_data);
// Vulnerable deserialization occurs in attach.inc processing
// Gadget chain triggers command execution: system($_POST['cmd']);

उपयोग निर्देश

कमांड सिंटैक्स

php CVE-2025-49113-exploit_cookies.php <url> <cookies> <command>

पैरामीटर

निष्पादन उदाहरण

php CVE-2025-49113-exploit_cookies.php \
    https://mail.example.com/roundcube/ \
    "roundcube_sessid=abc123; roundcube_sessauth=xyz456" \
    "cat /etc/passwd"

पहचान और शमन

समझौता के संकेतक

• सीरियलाइज़्ड डेटा के साथ असामान्य फ़ाइल अपलोड अनुरोध
• वेब सर्वर उपयोगकर्ता द्वारा अप्रत्याशित प्रक्रियाएँ उत्पन्न
• Roundcube या वेब सर्वर लॉग में असामान्य प्रविष्टियाँ

शमन रणनीतियाँ

1. तत्काल कार्रवाई: Roundcube संस्करण 1.6.11 या उसके बाद के संस्करण में अपग्रेड करें
2. अस्थायी समाधान: फ़ाइल अपलोड के लिए इनपुट सत्यापन फ़िल्टर लागू करें
3. नेटवर्क नियंत्रण:
   • प्रशासनिक इंटरफेस तक पहुँच प्रतिबंधित करें
   • डिसीरियलाइज़ेशन आक्रमण का पता लगाने वाला WAF लागू करें
4. निगरानी: फ़ाइल अपलोड संचालन के लिए लॉगिंग बढ़ाएँ

संदर्भ

• NIST NVD Entry
• Roundcube Security Advisory
• Original Research
• Exploit Code Reference
• Technical Analysis

कानूनी और नैतिक विचार

यह जानकारी केवल शैक्षिक उद्देश्यों के लिए प्रदान की गई है। स्पष्ट अनुमति के बिना सिस्टम के विरुद्ध अनधिकृत परीक्षण अवैध है। सुरक्षा मूल्यांकन करने से पहले हमेशा उचित प्राधिकरण प्राप्त करें। लेखक और प्रकाशक इस जानकारी के किसी भी दुरुपयोग के लिए कोई जिम्मेदारी नहीं लेते हैं।