Exploit RCE Roundcube (CVE-2025-49113)

Un exploit proof-of-concept completamente funzionante per CVE-2025-49113

🧠 Riepilogo

CVE-2025-49113 è un La vulnerabilità è il risultato di un difetto logico nell'analizzatore delle sessioni dell'applicazione, che permette una deserializzazione non sicura degli oggetti PHP. Gli utenti autenticati possono sfruttare questo problema per eseguire comandi arbitrari sul server.

🔥 Impatto

Un attaccante con credenziali valide (anche account utente con privilegi minimi) può sfruttare questa vulnerabilità per:

• Eseguire comandi arbitrari di sistema.
• Stabilire reverse shell o implementare persistenza.
• Muoversi lateralmente all'interno della rete interna se Roundcube è self-hosted.

🧩 Dettagli della Vulnerabilità

• Tipo: Deserializzazione non sicura → Remote Code Execution
• Componente: Backend PHP (elaborazione della posta o logica di caricamento dei plugin)
• Condizioni: Sessione autenticata (cookie o login), payload serializzato appositamente creato
• Primitiva di Exploit: PHP unserialize() con input controllato dall'attaccante e gadget caricati

✅ Versioni Affette

• 1.5.x: Tutte le versioni da 1.5.0 a 1.5.9
• 1.6.x: Tutte le versioni da 1.6.0 a 1.6.10

Le versioni precedenti alla 1.5.0 non sono state testate, ma sono potenzialmente vulnerabili se sono presenti plugin o funzionalità backportati.

⚙️ Requisiti dell'Exploit

• Python ≥ 3.7
• PHP ≥ 7.4 (utilizzato per la creazione locale del payload)
• Librerie Python elencate in requirements.txt

💻 Configurazione e Installazione

Clona il repository e installa le dipendenze richieste:

git clone https://github.com/BiiTts/Roundcube-CVE-2025-49113.git
cd roundcube-rce-CVE-2025-49113
pip install -r requirements.txt

🔥 Esecuzione

python3 roundcube_exploit.py http://roundcube.local/ username password "cmd"

💻 Riferimenti

https://fearsoff.org/research/roundcube

https://nvd.nist.gov/vuln/detail/CVE-2025-49113

https://hakaisecurity.io/por-tras-da-falha-erro-de-logica-no-parser-de-sessao-do-roundcube-cve-2025-49113/research-blog/