BDU:2020-03988 (CVE-2020-13965)

Уязвимость почтового клиента RoundCube Webmail, связанная с недостатками используемых мер по защите структур веб-страницы, позволяющая нарушителю оказать воздействие на целостность данных

Опубликовано: 2020-08-19

Описание

Уязвимость почтового клиента RoundCube Webmail связана с недостатками используемых мер по защите структур веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Debian GNU/Linux (10)Fedora (31)Fedora (32)RoundCube Webmail (до 1.3.12)RoundCube Webmail (от 1.4.0 до 1.4.5)

Способ устранения

Использование рекомендаций:
Для roundcube:
Обновление программного обеспечения до 1.3.13+dfsg.1-1~deb10u1 или более поздней версии

Для Debian:
Обновление программного обеспечения (пакета roundcube) до 1.3.13+dfsg.1-1~deb10u1 или более поздней версии

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/DLESQ4LPJGMSWHQ4TBRTVQRDG7IXAZCW/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ODPJXBHZ32QSP4MYT2OBCALYXSUJ47SK/

Оценка CVSS

Балл	4.3 — средняя опасность

Источники и патчи

https://nvd.nist.gov/vuln/detail/CVE-2020-13965 https://security-tracker.debian.org/tracker/CVE-2020-13965 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/DLESQ4LPJGMSWHQ4TBRTVQRDG7IXAZCW/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ODPJXBHZ32QSP4MYT2OBCALYXSUJ47SK/https://roundcube.net/news/2020/06/02/security-updates-1.4.5-and-1.3.12 https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-13965-Cross%20Site-Scripting%20via%20Malicious%20XML%20Attachment-Roundcube https://www.cisa.gov/sites/default/files/csv/known_exploited_vulnerabilities.csv

Проверьте безопасность своего сайта и почты → Полная проверка домена