Roundcube Webmail

Die Schwachstelle steckt in der Web-Mail-Software Roundcube Webmail. Sie beruht auf einer unzureichenden Prüfung der Benutzereingaben im Zusammenspiel mit den dateibasierten Anhang-Plugins, die standardmäßig aktiv sind. Über speziell präparierte Anfragen an die Einstellungsfunktion – insbesondere beim Hochladen und Anzeigen von Anhängen im Zusammenhang mit der Zeitzonen-Einstellung – kann ein Angreifer beliebige Dateien aus dem Dateisystem des Servers auslesen, einschließlich vertraulicher Konfigurationsdateien. Voraussetzung ist allerdings eine aktive, angemeldete Sitzung: Der Angreifer muss sich zuvor mit gültigen Zugangsdaten am Zielsystem anmelden können, sodass die Lücke kein anonymer Fernzugriff ist, sondern einen authentifizierten Benutzer erfordert. Betroffen sind Betreiber von Roundcube-Installationen; der unbefugte Zugriff auf Konfigurationsdateien kann weitere Geheimnisse wie Zugangs- und Datenbankdaten offenlegen. Die Schwachstelle wurde bereits aktiv ausgenutzt.