MAL-004: Обход внедрения команд для CVE-2020-12641 в Roundcube Webmail

Был найден обход для «CVE-2020-12641: Command Injection via "_im_convert_path" in Roundcube Webmail», затрагивающий версии до 1.4.5, 1.3.12.

Функция PHP «escapeshellcmd», реализованная для предотвращения «CVE-2020-12641: Command Injection via "_im_convert_path" Parameter», выполняет недостаточную очистку, и поэтому этот «фильтр» можно обойти, используя:

• Флаги конкретных команд (в средах Linux и Windows)
• Удалённые SMB-пути (только в средах Windows)

Успешная атака приводит к выполнению произвольных системных команд, когда легитимный пользователь Roundcube открывает письмо, содержащее нестандартное изображение.

Раскрытие информации вендором:

Раскрытие вендором и исправление этой уязвимости можно найти здесь.

Почему нет CVE?

Этот обход был включён как «улучшенное исправление для CVE-2020-12641» и не получил отдельного CVE-ID.

Требования:

Эта уязвимость требует:

• Доступа к компоненту установщика Roundcube Webmail
• Ожидания, когда пользователь Roundcube откроет письмо, содержащее нестандартное изображение

Доказательство концепции: