MAL-004: Bypass de Injeção de Comandos para CVE-2020-12641 no Roundcube Webmail

Foi encontrado um bypass para "CVE-2020-12641: Injeção de Comandos via "_im_convert_path" no Roundcube Webmail" afetando versões anteriores a 1.4.5, 1.3.12.

A função php “escapeshellcmd”, implementada para prevenir “CVE-2020-12641: Injeção de Comandos via Parâmetro “_im_convert_path””, realiza uma sanitização insuficiente e portanto este “filtro” pode ser contornado usando:

• Flags específicas de comando (ambos ambientes Linux e Windows)
• Caminhos SMB remotos (apenas em ambientes Windows)

Um ataque bem-sucedido resulta na execução de comandos arbitrários do sistema sempre que um usuário válido do Roundcube abrir um e-mail contendo uma imagem não padrão.

Vendor Disclosure:

A divulgação do fornecedor e a correção para esta vulnerabilidade podem ser encontradas aqui.

Por que não há CVE?

Este bypass foi incluído como uma "melhor correção para CVE-2020-12641" e não recebeu um ID de CVE separado.

Requisitos:

Esta vulnerabilidade requer:

• Acesso ao componente de instalação do Roundcube Webmail
• Aguardar que um usuário do Roundcube abra um e-mail contendo uma imagem não padrão

Prova de Conceito: