Se ha revelado una nueva vulnerabilidad de seguridad sin parches en el cliente de correo web Horde de código abierto que podría explotarse para lograr la ejecución remota de código en el servidor de correo electrónico simplemente enviando un correo electrónico especialmente diseñado a una víctima.
«Una vez que se ve el correo electrónico, el atacante puede hacerse cargo silenciosamente de todo el servidor de correo sin más interacción con el usuario», dijo SonarSource en un comunicado. reporte compartido con The Hacker News. «La vulnerabilidad existe en la configuración predeterminada y puede explotarse sin conocimiento de una instancia de Horda objetivo».
El problema, al que se le ha asignado el identificador CVE CVE-2022-30287se informó al proveedor el 2 de febrero de 2022. Los mantenedores del Proyecto Horda no respondieron de inmediato a una solicitud de comentarios sobre la vulnerabilidad no resuelta.
En esencia, el problema hace posible que un usuario autenticado de una instancia de Horde ejecute código malicioso en el servidor subyacente al aprovechar una peculiaridad en la forma en que el cliente maneja las listas de contactos.
Luego, esto puede armarse en relación con una falsificación de solicitud entre sitios (CSRF) ataque para desencadenar la ejecución del código de forma remota.
CSRF, también llamado sesión de conducción, ocurre cuando se engaña a un navegador web para que ejecute una acción maliciosa en una aplicación en la que un usuario ha iniciado sesión. Explota la confianza que una aplicación web tiene en un usuario autenticado.
«Como resultado, un atacante puede crear un correo electrónico malicioso e incluir una imagen externa que, cuando se representa, explota la vulnerabilidad CSRF sin más interacción de la víctima: el único requisito es que la víctima abra el correo electrónico malicioso».
La divulgación se produce poco más de tres meses después de que saliera a la luz otro error de nueve años en el software, que podría permitir que un adversario obtenga acceso completo a las cuentas de correo electrónico mediante la vista previa de un archivo adjunto. Este problema se resolvió desde el 2 de marzo de 2022.
A la luz del hecho de que Horde Webmail ya no se mantiene activamente desde 2017 y docenas de fallas de seguridad han sido reportados en la suite de productividad, se recomienda a los usuarios que cambien a un servicio alternativo.
«Con tanta confianza depositada en los servidores de correo web, naturalmente se convierten en un objetivo muy interesante para los atacantes», dijeron los investigadores.
«Si un adversario sofisticado pudiera comprometer un servidor de correo web, puede interceptar todos los correos electrónicos enviados y recibidos, acceder a enlaces de restablecimiento de contraseña, documentos confidenciales, hacerse pasar por personal y robar todas las credenciales de los usuarios que inician sesión en el servicio de correo web».