Se insta a los usuarios de Roundcube Webmail a instalar actualizaciones urgentes debido a la corrección de varios fallos de seguridad. Entre ellos destaca una vulnerabilidad crítica de inyección SQL de pre-autenticación que permitiría a los atacantes manipular bases de datos internas sin necesidad de iniciar sesión. Este problema afecta a las versiones 1.6.x y 1.7.x, ampliamente utilizadas en entornos de alojamiento y empresariales.

Se insta a los usuarios de Roundcube Webmail a aplicar actualizaciones urgentes después de que los desarrolladores parchearan múltiples fallos de seguridad.

Incluyendo una vulnerabilidad crítica de inyección SQL previa a la autenticación que podría permitir a los atacantes manipular las bases de datos del backend sin necesidad de iniciar sesión.

Los problemas afectan a las versiones 1.6.x y 1.7.x de Roundcube, que se utilizan ampliamente en entornos empresariales y de alojamiento.

La vulnerabilidad, descubierta por el investigador “skull”, afecta al complemento virtuser_query. Se deriva de una desinfección inadecuada de la entrada en una función preg_replace, lo que permite a los atacantes evadir las protecciones de escape de barra invertida.

Este fallo permite a los actores de amenazas inyectar consultas SQL maliciosas antes de la autenticación, exponiendo potencialmente datos sensibles de correo electrónico, credenciales de usuario y configuraciones del sistema.

Los expertos en seguridad advierten que los fallos de inyección SQL previos a la autenticación son particularmente peligrosos porque no requieren un acceso de usuario válido.

En ataques reales, los adversarios podrían explotar este problema para extraer el contenido de los buzones, escalar privilegios o pivotar más profundamente en la infraestructura interna.

Vulnerabilidad de Roundcube Webmail

Además del fallo de inyección SQL, Roundcube solucionó varias otras vulnerabilidades de alto impacto en las versiones 1.6.16 y 1.7.1.

Estas incluyen problemas de cross-site scripting (XSS) almacenado e inyecciones de HTML/CSS que podrían permitir a los atacantes ejecutar scripts maliciosos a través de contenido de correo manipulado o borradores de mensajes.

Otra corrección notable implica una evasión de inyección de CSS utilizando elementos SVG, específicamente a través de la etiqueta <animate>, que manipula los atributos de estilo.

Esto podría permitir a los atacantes evadir los filtros de desinfección y ejecutar código no autorizado en la sesión del navegador de la víctima. También se reforzaron las protecciones contra la falsificación de solicitudes del lado del servidor (SSRF).

Los investigadores identificaron técnicas de evasión utilizando URLs locales especialmente diseñadas que permitían el acceso a recursos internos restringidos.

Adicionalmente, se parchearon fallos en los mecanismos de bloqueo de imágenes remotas, que permitían a los atacantes explotar variables CSS para cargar contenido externo y, potencialmente, rastrear a los usuarios.

Un problema particularmente grave implicaba la eliminación arbitraria de archivos a través del envenenamiento de sesión en configuraciones de Redis o Memcache.

Esta vulnerabilidad podría permitir a los atacantes manipular los datos de la sesión y eliminar archivos críticos en el servidor.

Otra corrección eliminó la funcionalidad de evaluación de código inseguro de la opción autovalues de LDAP, eliminando un vector potencial de inyección de código que podría conducir a la ejecución remota de código en ciertas configuraciones.

Los mantenedores de Roundcube han lanzado las versiones parcheadas 1.6.16 y 1.7.1 y recomiendan encarecidamente actualizaciones inmediatas para todos los entornos de producción.

Dada la combinación de inyección SQL previa a la autenticación y múltiples técnicas de evasión, los sistemas no parcheados presentan una superficie de ataque significativa.

Las organizaciones que utilizan Roundcube en alojamientos compartidos, sistemas de correo empresarial o despliegues en la nube deben priorizar el parcheo y revisar los registros en busca de actividad sospechosa.

Monitorear las consultas de la base de datos, las solicitudes HTTP inusuales y las operaciones de archivos no autorizadas puede ayudarte a detectar posibles intentos de explotación.

Dado que las plataformas de webmail siguen siendo un objetivo principal para los atacantes, este incidente resalta la importancia de una gestión de parches oportuna y prácticas de configuración segura para evitar brechas de datos y el compromiso del servicio.

Fuentes:
https://cybersecuritynews.com/roundcube-webmail-sql-vulnerability/