Пользователи популярного сервиса электронной почты Roundcube Webmail рискуют потерять конфиденциальные данные

Хакеры используют уязвимость в веб-почте Roundcube для кражи электронных писем и других конфиденциальных данных.

Пользователи популярного сервиса электронной почты Roundcube Webmail рискуют потерять конфиденциальные данные. Фото: СС0

Эксперты по кибербезопасности из Positive Technologies заявили, что популярный почтовый клиент содержит уязвимость, которая активно эксплуатируется против правительственных организаций в СНГ.

Roundcube Webmail — популярный браузерный почтовый клиент с удобным интерфейсом, который имитирует настольное приложение. Он поддерживает стандартные протоколы электронной почты, такие как IMAP и SMTP, и предлагает такие функции, как поиск сообщений, управление контактами и настройка плагинов.

Ошибка отслеживается как CVE-2024-37383 и описывается как уязвимость средней степени серьезности, связанная с межсайтовым скриптингом (XSS), позволяющая выполнять вредоносный JavaScript-код на странице Roundcube.

Чтобы активировать уязвимость, мошенники составляли и отправляли уникальное электронное письмо. Тело письма выглядело пустым и содержало только вложение .DOC. Но злоумышленники скрывали вредоносный код в письме, используя определенные HTML-теги (в данном случае тег), которые обрабатывались почтовым клиентом, оставаясь невидимыми для целевого пользователя.

Полезная нагрузка представляет собой фрагмент кода ЯваСкрипт, маскирующийся под значение 'href'. Он загружает файл-приманку .DOC, одновременно внедряя несанкционированную форму входа в HTML-страницу, которая запрашивает сообщения с почтового сервера. Форма запрашивает у жертвы имя пользователя и пароль, которые затем передаются злоумышленникам.

Все версии до 1.5.6, а также версии между 1.6 и 1.6.6. были признаны уязвимыми. Версии 1.5.7 и 1.6.7, выпущенные 19 мая, являются самыми ранними, в которых была устранена эта ошибка, и пользователям рекомендуется обновить свои клиенты как можно скорее.

Startpack подготовил список сервисов и программ для работы с электронной почтой. На странице собраны бесплатные почтовые веб-сервисы, платные почтовые клиенты с защитой информации, органайзеры для работы с несколькими почтовыми ящиками. Подходят для использования в бизнесе или частным лицам. Инструменты представлены в виде веб-сервисов и приложений. Подходят для использования под всеми операционными системами. Приложения разворачиваются из облака или с сервера.

Статьи по теме