BDU:2021-01759 (CVE-2020-35730)

Уязвимость функции linkref_addindex компонента rcube_string_replacer.php почтового клиента Roundcube, связанная с недостатками используемых мер по защите структур веб-страницы, позволяющая нарушителю оказать воздействие на целостность данных

Опубликовано: 2021-03-30

Описание

Уязвимость функции linkref_addindex компонента rcube_string_replacer.php почтового клиента Roundcube связана с отсутствием проверки содержания элемента для ссылки. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Debian GNU/Linux (10)Fedora (32)Fedora (33)Roundcube (до 1.2.13)Roundcube (от 1.3.0 до 1.3.16)Roundcube (от 1.4.0 до 1.4.10)

Способ устранения

Использование рекомендаций:
Для Roundcube:
Обновление программного обеспечения до 1.4.11+dfsg.1-3 или более поздней версии

Для Debian:
Обновление программного обеспечения (пакета roundcube) до 1.2.3+dfsg.1-4+deb9u8 или более поздней версии

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/HCEU4BM5WGIDJWP6Z4PCH62ZMH57QYM2/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/HMLIZWKMTRCLU7KZLEQHELS4INXJ7X5Q/

Оценка CVSS

Балл	4.3 — средняя опасность

Источники и патчи

https://github.com/roundcube/roundcubemail/releases/tag/1.2.13 https://github.com/roundcube/roundcubemail/releases/tag/1.3.16 https://github.com/roundcube/roundcubemail/releases/tag/1.4.10 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/HCEU4BM5WGIDJWP6Z4PCH62ZMH57QYM2/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/HMLIZWKMTRCLU7KZLEQHELS4INXJ7X5Q/https://nvd.nist.gov/vuln/detail/CVE-2020-35730 https://security-tracker.debian.org/tracker/CVE-2020-35730 https://www.alexbirnberg.com/roundcube-xss.html

Проверьте безопасность своего сайта и почты → Полная проверка домена