- Aktif istismar
- CWE-552
CVE-2017-16651
Roundcube Webmail'de Yetkisiz Dosya Okuma Açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 3275 gün
- Kaydı açan
- mitre
ÖzetTürkçe
1.1.10 öncesi Roundcube Webmail, 1.2.7 öncesi 1.2.x ve 1.3.3 öncesi 1.3.x sürümleri, yetkisiz erişime izin vererek ana makinenin dosya sistemindeki yapılandırma dosyaları dahil rastgele dosyalara erişilmesine olanak tanır; bu açık Kasım 2017'de sahada istismar edilmiştir. Saldırganın hedef sisteme geçerli bir kullanıcı adı ve parola ile kimlik doğrulaması yapabilmesi gerekir, çünkü saldırı etkin bir oturum gerektirir. Sorun, dosya tabanlı ek eklentileri ve _task=settings&_action=upload-display&_from=timezone istekleriyle ilgilidir.
Kaynaktaki açıklama (İngilizce)
Roundcube Webmail before 1.1.10, 1.2.x before 1.2.7, and 1.3.x before 1.3.3 allows unauthorized access to arbitrary files on the host's filesystem, including configuration files, as exploited in the wild in November 2017. The attacker must be able to authenticate at the target system with a valid username/password as the attack requires an active session. The issue is related to file-based attachment plugins and _task=settings&_action=upload-display&_from=timezone requests.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Roundcube Webmail | Sürüm belirtilmemiş | – |
Kaynaklar11 kaynak
- CVE.org kaydı
- NVD kaydı
- debian.org/security/2017/dsa-4030 Üretici bülteni
- github.com/roundcube/roundcubemail/releases/tag/1.3.3 Diğer
- roundcube.net/…/11/08/security-updates-1.3.3-1.2.7-and-1.1.10 Diğer
- lists.debian.org/debian-lts-announce/2017/11/msg00039.html Diğer
- github.com/roundcube/roundcubemail/releases/tag/1.1.10 Diğer
- securityfocus.com/bid/101793 Diğer
- github.com/roundcube/roundcubemail/releases/tag/1.2.7 Diğer
- github.com/roundcube/roundcubemail/issues/6026 Diğer
- packetstormsecurity.com/…226/Roundcube-Webmail-1.2-File-Disclosure.html Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.