BDU:2020-03992 (CVE-2020-12625) — уязвимость решения для IMAP-серверов на основе AJAX Roundcube

По данным БДУ ФСТЭК России, по состоянию на 13.09.2024.

Уязвимость решения для IMAP-серверов на основе AJAX Roundcube связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных

Кого касается и что делать

• Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 10; RoundCube Webmail (The RoundCube Team) — версии до 1.4.4
• Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)
• Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2020-03992 · CVE-2020-12625
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 4.7; CVSS 2.0 — 4.3)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N атака по сети, низкая сложность, без прав, требуется участие пользователя, затрагивает смежные компоненты, ограниченное влияние на целостность
Наименование ФСТЭК	Уязвимость решения для IMAP-серверов на основе AJAX Roundcube, связанная с непринятием мер по защите структуры веб-страницы, позволяющая нарушителю оказать воздействие на целостность данных
Даты	Опубликована: 19.08.2020 · Обновлена ФСТЭК: 13.09.2024 · Выявлена: 03.05.2020
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-79 — непринятие мер по защите структуры веб-страницы (или «Межсайтовая сценарная атака»)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: инъекция

Уязвимое ПО

• Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 10 · операционная система
• RoundCube Webmail (The RoundCube Team) — до 1.4.4 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

• Для Rouncube: Обновление программного обеспечения до 1.4.4 или более поздней версии
• Для Debian: Обновление программного обеспечения (пакета roundcube) до 1.3.11+dfsg.1-1~deb10u1 или более поздней версии

Источники

• nvd.nist.gov/vuln/detail/CVE-2020-12625
• security-tracker.debian.org/tracker/CVE-2020-12625
• github.com/DrunkenShells/Disclosures/tree/master/CVE-2020…