CVE-2023-43770

Roundcube Webmail

ВЫСОКАЯ ВЕРОЯТНОСТЬ
Дата обнаружения

2024-02-12

Официальное описание

Roundcube Webmail contains a persistent cross-site scripting (XSS) vulnerability that can lead to information disclosure via malicious link references in plain/text messages.

🛡️
Технический анализ и план устранения

Суть уязвимости

CVE-2023-43770 представляет собой уязвимость типа Stored XSS (хранимый межсайтовый скриптинг) в Roundcube Webmail версий до 1.4.15, 1.5.x до 1.5.5 и 1.6.x до 1.6.4. Проблема возникает из-за недостаточной фильтрации вредоносных ссылок в сообщениях формата plain/text. Злоумышленник может отправить специально сформированное письмо, содержащее вредоносную ссылку, которая при просмотре получателем позволяет выполнить произвольный JavaScript-код в контексте сессии пользователя. Это может привести к краже сессионных cookie, токенов доступа и раскрытию конфиденциальной информации.

Как исправить

Единственным надежным способом устранения уязвимости является обновление Roundcube Webmail до актуальных безопасных версий: 1.4.15, 1.5.5 или 1.6.4 (и выше).

  1. Проверьте текущую версию Roundcube.
  2. Сделайте резервную копию базы данных и файлов приложения.
  3. Скачайте последнюю стабильную версию с официального сайта или репозитория.
  4. Выполните скрипт обновления из директории bin.

Пример обновления для систем на базе Linux:

cd /tmp


wget https://github.com/roundcube/roundcubemail/releases/download/1.6.4/roundcubemail-1.6.4-complete.tar.gz


tar -xvzf roundcubemail-1.6.4-complete.tar.gz


cd roundcubemail-1.6.4


./bin/installto.sh /var/www/roundcube

(Где /var/www/roundcube — путь к вашей текущей установке)

Временные меры

Если немедленное обновление невозможно, рекомендуется принять следующие меры для снижения риска:

  1. Настройте строгую политику Content Security Policy (CSP) в конфигурации веб-сервера (Nginx/Apache), чтобы запретить выполнение скриптов из недоверенных источников и ограничить inline-скрипты.
  2. Используйте WAF (Web Application Firewall) с правилами для фильтрации XSS-нагрузок в теле сообщений.
  3. Проинструктируйте пользователей не переходить по подозрительным ссылкам, даже в текстовых сообщениях от внешних отправителей.
  4. Если возможно, временно ограничьте доступ к веб-интерфейсу почты только через доверенные VPN/IP-адреса.
Рекомендации сформированы автоматически на основе баз знаний (CISA/NVD/ФСТЭК) и технической документации вендора. Всегда тестируйте патчи в песочнице перед продакшном.
← Вернуться к списку уязвимостей