Ανακοίνωση της κυβέρνησης των ΗΠΑ για το ελάττωμα του ηλεκτρονικού ταχυδρομείου Roundcube και την ανάγκη διόρθωσής του

Μια ευπάθεια στην πλατφόρμα διακομιστή ηλεκτρονικού ταχυδρομείου Roundcube αξιοποιείται ενεργά, προειδοποιεί η κυβέρνηση των

ΗΠΑ

, προτρέποντας τους φορείς της να εφαρμόσουν την ενημερωμένη έκδοση κώδικα και να ασφαλίσουν τις εμφανίσεις τους νωρίτερα, παρά αργότερα.

Σε μια συμβουλή ασφαλείας, η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών (

CISA

) δήλωσε ότι ένα μόνιμο σφάλμα δέσμης ενεργειών μεταξύ τοποθεσιών (XSS) χρησιμοποιείται ενεργά στη φύση. Το σφάλμα, το οποίο παρακολουθείται ως CVE-2023-43770, γίνεται κατάχρηση μέσω προσαρμοσμένων απλών μηνυμάτων/μηνυμάτων κειμένου και συνδέσμων.

Το ελάττωμα επηρεάζει τις εκδόσεις των διακομιστών ηλεκτρονικού ταχυδρομείου Roundcube μεταξύ 1.4.14 και 1.5.4 και τις εκδόσεις μεταξύ 1.6.0 και 1.6.3. Το patch κυκλοφόρησε περί

που

πριν από μισό χρόνο. Η CISA είπε επίσης ότι οι υπηρεσίες του Ομοσπονδιακού Πολιτικού Εκτελεστικού Κλάδου (FCEB) των ΗΠΑ έχουν προθεσμία έως τις 4 Μαρτίου για να επιδιορθώσουν την ευπάθεια και να εξασφαλίσουν τα τελικά σημεία τους.

Σε κίνδυνο και ο ιδιωτικός τομέας

Ενώ η CISA εστιάζει αποκλειστικά σε κρατικούς φορείς, αυτό δεν σημαίνει ότι οι οργανισμοί του ιδιωτικού τομέα δεν κινδυνεύουν επίσης.

ΕΝΑ


BleepingComputer


Η έκθεση λέει ότι αυτή τη στιγμή υπάρχουν περισσότεροι από 130.000 διακομιστές Roundcube στο διαδίκτυο. Δεν είναι γνωστό πόσα από αυτά είναι ευάλωτα στην ευπάθεια δέσμης ενεργειών μεταξύ τοποθεσιών.

Η ίδια δημοσίευση αναφέρει επίσης ότι υπήρχε ένα παρόμοιο ελάττωμα στο Roundcube (σενάριο μεταξύ ιστοτόπων), το οποίο παρακολουθείται ως CVE-2023-5631. Αυτό έγινε κατάχρηση, ως μηδενική ημέρα, από έναν Ρώσο ηθοποιό απειλών γνωστό ως Winter Vivern. Η εκστρατεία ξεκίνησε προφανώς στις 11 Οκτωβρίου του περασμένου έτους και είχε ως αποτέλεσμα οι χάκερ να κλέψουν μηνύματα ηλεκτρονικού ταχυδρομείου από παραβιασμένους διακομιστές ηλεκτρονικού ταχυδρομείου Roundcube που ανήκουν σε κυβερνητικές οντότητες και δεξαμενές σκέψης στην Ευρώπη.

Το Roundcube είναι ένα πρόγραμμα-πελάτης ηλεκτρονικού ταχυδρομείου IMAP που βασίζεται στο web, του οποίου το πιο δημοφιλές χαρακτηριστικό είναι η διάχυτη χρήση της

τεχν

ολογίας Ajax. Το προϊόν είναι δωρεάν και ανοιχτού κώδικα, υπόκειται στους όρους της Γενικής Άδειας Δημόσιας Χρήσης GNU (εκτός από skins και πρόσθετα). Κυκλοφόρησε αρχικά το 2008, πριν από 16 χρόνια.