Des chercheurs en cybers\u00e9curit\u00e9 ont r\u00e9v\u00e9l\u00e9 des d\u00e9tails sur des failles de s\u00e9curit\u00e9 dans le logiciel de messagerie Web Roundcube qui pourraient \u00eatre exploit\u00e9es pour ex\u00e9cuter du JavaScript malveillant dans le navigateur Web d’une victime et voler des informations sensibles de son compte dans des circonstances sp\u00e9cifiques.<\/p>\n
\u00ab Lorsqu’une victime consulte un e-mail malveillant dans Roundcube envoy\u00e9 par un attaquant, l’attaquant peut ex\u00e9cuter du JavaScript arbitraire dans le navigateur de la victime \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Sonar dit<\/a> dans une analyse publi\u00e9e cette semaine.<\/p>\n \u00ab Les attaquants peuvent exploiter cette vuln\u00e9rabilit\u00e9 pour voler les e-mails, les contacts et le mot de passe de l’e-mail de la victime, ainsi que pour envoyer des e-mails \u00e0 partir du compte de la victime. \u00bb<\/p>\n Suite \u00e0 une divulgation responsable le 18 juin 2024, les trois vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 adress\u00e9<\/a> dans les versions Roundcube 1.6.8 et 1.5.8 publi\u00e9es le 4 ao\u00fbt 2024.<\/p>\n La liste des vuln\u00e9rabilit\u00e9s est la suivante :<\/p>\n L’exploitation r\u00e9ussie des failles susmentionn\u00e9es pourrait permettre \u00e0 des attaquants non authentifi\u00e9s de voler des e-mails et des contacts, ainsi que d’envoyer des e-mails \u00e0 partir du compte d’une victime, mais apr\u00e8s avoir consult\u00e9 un e-mail sp\u00e9cialement con\u00e7u dans Roundcube.<\/p>\n \u00ab Les attaquants peuvent obtenir un acc\u00e8s persistant au navigateur de la victime au fil des red\u00e9marrages, ce qui leur permet d’exfiltrer les e-mails en continu ou de voler le mot de passe de la victime la prochaine fois qu’il est saisi \u00bb, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Oskar Zeino-Mahmalat.<\/p>\n \u00ab Pour qu’une attaque r\u00e9ussisse, aucune interaction de l’utilisateur autre que la consultation de l’e-mail de l’attaquant n’est n\u00e9cessaire pour exploiter la vuln\u00e9rabilit\u00e9 XSS critique (CVE-2024-42009). Pour CVE-2024-42008, un seul clic de la victime est n\u00e9cessaire pour que l’exploit fonctionne, mais l’attaquant peut rendre cette interaction invisible pour l’utilisateur. \u00bb<\/p>\n Des d\u00e9tails techniques suppl\u00e9mentaires sur les probl\u00e8mes ont \u00e9t\u00e9 retenus pour donner le temps aux utilisateurs de mettre \u00e0 jour vers la derni\u00e8re version, et \u00e0 la lumi\u00e8re du fait que les failles du logiciel de messagerie Web ont \u00e9t\u00e9 exploit\u00e9es \u00e0 plusieurs reprises par des acteurs \u00e9tatiques comme APT28, Winter Vivern et TAG-70.<\/p>\n Ces r\u00e9sultats surviennent alors que des d\u00e9tails ont \u00e9merg\u00e9 sur une faille d’escalade de privil\u00e8ges locaux de gravit\u00e9 maximale dans le RaspAP<\/a> projet open source (CVE-2024-41637<\/a>score CVSS\u00a0: 10,0) qui permet \u00e0 un attaquant d’acc\u00e9der au niveau root et d’ex\u00e9cuter plusieurs commandes critiques. La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e dans la version 3.1.5.<\/p>\n \u00ab L’utilisateur www-data a un acc\u00e8s en \u00e9criture au fichier restapi.service et poss\u00e8de \u00e9galement des privil\u00e8ges sudo pour ex\u00e9cuter plusieurs commandes critiques sans mot de passe \u00bb, a d\u00e9clar\u00e9 un chercheur en s\u00e9curit\u00e9 connu sous le pseudonyme en ligne 0xZon1 dit<\/a>\u00ab Cette combinaison d’autorisations permet \u00e0 un attaquant de modifier le service pour ex\u00e9cuter du code arbitraire avec des privil\u00e8ges root, augmentant ainsi son acc\u00e8s de www-data \u00e0 root. \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Les-failles-du-Webmail-de-Roundcube-permettent-aux-pirates-de.png\")
<\/a><\/center><\/div>\n\n
<\/a><\/center><\/section>\n