Lỗ Hổng Nghiêm Trọng Roundcube Webmail: Nguy Cơ Thực Thi Mã Từ Xa (RCE)

Lỗ hổng nghiêm trọng trong Roundcube Webmail cho phép thực thi mã từ xa (RCE)

Một lỗ hổng nghiêm trọng trong Roundcube Webmail đã được phát hiện, cho phép kẻ tấn công thực hiện tấn công thực thi mã từ xa (Remote Code Execution – RCE). Lỗ hổng này ảnh hưởng đến nhiều phiên bản của Roundcube Webmail và đòi hỏi người dùng phải cập nhật ngay lập tức để bảo vệ hệ thống. Dưới đây là thông tin chi tiết về lỗ hổng, ảnh hưởng, cách thức khai thác và biện pháp khắc phục.

1. Chi tiết về lỗ hổng

• Lỗ hổng ảnh hưởng đến các phiên bản Roundcube Webmail 1.6.x và 1.5.x, bao gồm cả các phiên bản Long Term Support (LTS) 1.6.11 và 1.5.10.
• Đây là một lỗ hổng RCE sau khi xác thực (post-authentication), xuất phát từ việc giải serialize đối tượng PHP (PHP object deserialization) không đúng cách.

2. Tác động của lỗ hổng

• Lỗ hổng cho phép kẻ tấn công có thông tin xác thực hợp lệ hoặc quyền truy cập vào một phiên đã xác thực thực thi mã PHP tùy ý trên máy chủ, gây ra rủi ro lớn đối với tính toàn vẹn dữ liệu và kiểm soát máy chủ.
• Việc khai thác thành công có thể dẫn đến leo thang đặc quyền (privilege escalation), trích xuất dữ liệu (data exfiltration) và di chuyển ngang (lateral movement) trong các mạng doanh nghiệp.

3. Cách thức khai thác (Exploitation)

Lỗ hổng xảy ra do việc xử lý không đúng đầu vào do người dùng kiểm soát thông qua hàm unserialize() của PHP. Kẻ tấn công có thể tạo ra một payload độc hại, khi được máy chủ giải serialize, sẽ kích hoạt hành vi đối tượng không mong muốn và cho phép thực thi mã.

4. Đoạn mã minh họa khai thác

Dưới đây là một đoạn mã minh họa cách kẻ tấn công có thể khai thác lỗ hổng này bằng cách sử dụng một đối tượng serialized độc hại để đạt được RCE:

@dataclass
class Exploit:
    """Roundcube authenticated RCE exploit using CVE-2024-2961 (CNEXT)."""
    # ... (setup omitted for brevity)
    def overwrite_session_preferences(self, heap: int) -> None:
        # ... (code omitted for brevity)

5. Khuyến nghị và biện pháp khắc phục

• Người dùng được khuyến nghị cập nhật lên các phiên bản mới nhất của Roundcube Webmail (1.6.11 và 1.5.10) để vá lỗ hổng nghiêm trọng này.
• Các bản cập nhật cũng đi kèm với nhiều bản sửa lỗi khác, bao gồm cải tiến cho việc làm mới token OAuth, xem trước tin nhắn HTML, hiển thị chế độ tối (dark mode), và hỗ trợ ldapi://.

Lỗ hổng này nhấn mạnh tầm quan trọng của việc cập nhật bảo mật định kỳ và vá lỗi nhằm duy trì trạng thái bảo mật cho các máy chủ email và các ứng dụng web khác. Quản trị viên hệ thống nên ưu tiên áp dụng các bản vá và theo dõi mọi dấu hiệu bất thường trên hệ thống Roundcube Webmail của mình.