Grave vulnerabilità di sicurezza nel client di posta elettronica Roundcube

Dettagli Tecnici
La vulnerabilità è di tipo Cross-Site Scripting (XSS) e sfrutta un'errata gestione degli attributi SVG animate.
Gli attaccanti possono iniettare codice JavaScript malevolo all'interno delle email, che viene eseguito quando la vittima apre il messaggio.

Impatto e Metodologia di Attacco
L'attacco si svolge in più fasi:

•     L'email malevola appare vuota con un documento allegato fittizio
•     All'apertura del messaggio, viene eseguito automaticamente codice JavaScript nascosto
•     Viene iniettato un falso form di login nella pagina
•     Le credenziali inserite vengono rubate e inviate a server controllati dagli attaccanti
•     Gli aggressori utilizzano anche il plugin ManageSieve per estrarre i messaggi dal server di posta
   

Versioni Vulnerabili

•     Roundcube versioni precedenti alla 1.5.7
•     Serie 1.6.x precedenti alla versione 1.6.7

Fonti: CSIRT Italia, Fieldeffect, Ogma