Poczta / DATA PUBLICZNEGO OGŁOSZENIA
Roundcube 2025: wykonanie kodu po zalogowaniu
Luka w Roundcube pozwalała zalogowanemu użytkownikowi uruchomić kod na serwerze z uprawnieniami aplikacji pocztowej.
Co się wydarzyło?
1 czerwca 2025 roku Roundcube wydał aktualizacje 1.6.11 i 1.5.10. Naprawiały błąd deserializacji obiektów PHP, zgłoszony przez Kirilla Firsova. Problem otrzymał identyfikator CVE-2025-49113.
Błąd walidacji danych w obsłudze przesyłania plików umożliwiał zalogowanemu użytkownikowi doprowadzenie do wykonania kodu. W komunikacie producenta został opisany jako post-auth RCE, czyli wykonanie kodu po uwierzytelnieniu. Ten warunek jest istotną częścią oceny zagrożenia.
Dlaczego to ważne dla poczty firmowej?
Webmail jest aplikacją działającą obok serwera pocztowego. Przejęcie konta może dać napastnikowi możliwość dotarcia do funkcji niedostępnych anonimowo. Luka aplikacji potrafi następnie rozszerzyć skutki poza sam dostęp do wiadomości tej skrzynki.
Zakres możliwych szkód zależy od uprawnień procesu i danych, do których ma dostęp. Wykonanie kodu w webmailu nie oznacza automatycznie uprawnień root, ale wymaga oceny całego środowiska aplikacji i przechowywanych w nim poufnych danych.
Poprawka i dalsze działania
Historyczne poprawki zawierały Roundcube 1.5.10 oraz 1.6.11. Przy podejrzeniu wykorzystania luki aktualizacja powinna być połączona z oceną plików aplikacji, sesji i dostępów. Trzeba też ustalić, czy konto użyte do ataku nie zostało wcześniej przejęte.
Co to oznacza dla administratora?
Każda instalacja Roundcube wymaga własnego cyklu aktualizacji. Rozdzielenie instalacji może ograniczać zasięg części incydentów, ale wszystkie kopie nadal potrzebują poprawek i kontroli. Bezpieczeństwo poczty obejmuje zarówno protokoły serwera, jak i interfejs dostępny przez przeglądarkę.