VietNetwork.Vn

Các nhà nghiên cứu an ninh mạng đã tiết lộ chi tiết về các lỗi bảo mật trong phần mềm webmail Roundcube có thể bị khai thác để thực thi JavaScript độc hại trong trình duyệt web của nạn nhân và đánh cắp thông tin nhạy cảm từ tài khoản của họ trong những trường hợp cụ thể.

Công ty an ninh mạng Sonar cho biết trong một phân tích được công bố trong tuần này: "Khi nạn nhân xem một email độc hại trong Roundcube do kẻ tấn công gửi, kẻ tấn công có thể thực thi JavaScript tùy ý trong trình duyệt của nạn nhân".


"Những kẻ tấn công có thể lợi dụng lỗ hổng này để đánh cắp email, danh bạ và mật khẩu email của nạn nhân cũng như gửi email từ tài khoản của nạn nhân."

Sau khi tiết lộ có trách nhiệm vào ngày 18 tháng 6 năm 2024, ba lỗ hổng bảo mật đã được xử lý trong các phiên bản Roundcube 1.6.8 và 1.5.8 phát hành vào ngày 4 tháng 8 năm 2024.

Danh sách các lỗ hổng như sau:

• CVE-2024-42008 - Lỗ hổng cross-site scripting thông qua tệp đính kèm email độc hại được phân phối với tiêu đề Content-Type nguy hiểm
• CVE-2024-42009 - Lỗ hổng kịch bản chéo trang phát sinh từ quá trình xử lý hậu kỳ nội dung HTML đã được lọc sạch
• CVE-2024-42010 - Lỗ hổng tiết lộ thông tin bắt nguồn từ việc lọc CSS không đủ

Khai thác thành công các lỗ hổng nói trên có thể cho phép những kẻ tấn công không được xác thực đánh cắp email và danh bạ, cũng như gửi email từ tài khoản của nạn nhân, nhưng sau khi xem một email được tạo đặc biệt trong Roundcube.

Nhà nghiên cứu bảo mật Oskar Zeino-Mahmalat cho biết: "Những kẻ tấn công có thể chiếm được chỗ đứng lâu dài trong trình duyệt của nạn nhân sau mỗi lần khởi động lại, cho phép chúng lấy email liên tục hoặc đánh cắp mật khẩu của nạn nhân vào lần nhập tiếp theo".

"Để một cuộc tấn công thành công, không cần có sự tương tác của người dùng ngoài việc xem email của kẻ tấn công để khai thác lỗ hổng XSS nghiêm trọng (CVE-2024-42009). Đối với CVE-2024-42008, nạn nhân chỉ cần một cú nhấp chuột để hoạt động khai thác, nhưng kẻ tấn công có thể khiến người dùng không thấy được sự tương tác này."

Thông tin chi tiết kỹ thuật bổ sung về các vấn đề đã được giữ lại để người dùng có thời gian cập nhật lên phiên bản mới nhất và thực tế là các lỗ hổng trong phần mềm webmail đã bị các tác nhân quốc gia như APT28, Winter Vivern và TAG khai thác nhiều lần.

Các phát hiện này được đưa ra khi thông tin chi tiết về lỗ hổng leo thang đặc quyền cục bộ có mức độ nghiêm trọng tối đa trong dự án nguồn mở RaspAP (CVE-2024-41637, điểm CVSS: 10.0) cho phép kẻ tấn công nâng cấp lên root và thực thi một số lệnh quan trọng. Lỗ hổng đã được giải quyết trong phiên bản 3.1.5.

"Người dùng dữ liệu www có quyền ghi vào tệp Restapi.service và cũng có đặc quyền sudo để thực thi một số lệnh quan trọng mà không cần mật khẩu", một nhà nghiên cứu bảo mật có bí danh trực tuyến 0xZon1 cho biết. "Sự kết hợp các quyền này cho phép kẻ tấn công sửa đổi dịch vụ để thực thi mã tùy ý với quyền root, tăng quyền truy cập của chúng từ dữ liệu www lên root."