- Aktif istismar
- CWE-78
CVE-2020-12641
Roundcube Webmail'de komut enjeksiyonu ile uzaktan kod çalıştırma açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2368 gün
- Kaydı açan
- mitre
Yönetici özeti
Kurumun e-posta arayüzü olan Roundcube'daki bu kritik açık, saldırganların sunucuyu uzaktan ele geçirmesine izin verebilir ve aktif olarak istismar edildiği bilinmektedir. E-posta içeriklerinin ele geçirilmesi ve sunucunun başka saldırılar için kullanılması riski vardır. Güncelleme gecikmeden yapılmalıdır.
ÖzetTürkçe
Roundcube Webmail'in 1.4.4 öncesi sürümlerinde yer alan rcube_image.php dosyası, im_convert_path veya im_identify_path yapılandırma ayarlarındaki kabuk metakarakterlerini yeterince denetlemiyor. Bu durum işletim sistemi komut enjeksiyonuna (CWE-78) yol açıyor. Açık, 1.4.4 öncesi Roundcube Webmail kullanan tüm kurulumları etkiliyor ve CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor.
Saldırgan ne yapabilir?
Saldırgan, sunucu üzerinde kimlik doğrulaması ve kullanıcı etkileşimi gerekmeden ağ üzerinden rastgele kod çalıştırabilir. Bu da e-posta sunucusunun tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
rcube_image.php in Roundcube Webmail before 1.4.4 allows attackers to execute arbitrary code via shell metacharacters in a configuration setting for im_convert_path or im_identify_path.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Roundcube Webmail'i 1.4.4 veya daha yeni bir sürüme güncelleyin. Genel öneri
- CISA'nın belirttiği gibi güncellemeleri satıcı talimatlarına göre uygulayın. CISA
- Güncelleme hemen yapılamıyorsa im_convert_path ve im_identify_path ayarlarının yalnızca güvenilir, beklenen değerler içerdiğini kontrol edin ve yapılandırma dosyasına yazma erişimini kısıtlayın. Genel öneri
Ek önlemler
- Roundcube yapılandırma dosyalarına yalnızca yetkili yöneticilerin yazabildiğinden emin olun ve dosya değişikliklerini izleyin. Genel öneri
- Web sunucusunun çalıştığı kullanıcının yetkilerini en aza indirin ve sunucuda olağan dışı süreç veya komut çalıştırma izlerini denetleyin. Genel öneri
- Eski sürüm çalıştırdıysanız sistemde ele geçirilme belirtilerini (beklenmeyen dosyalar, yeni hesaplar, şüpheli giden bağlantılar) gözden geçirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Roundcube Webmail | Sürüm belirtilmemiş | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- security.gentoo.org/glsa/202007-41 Üretici bülteni
- lists.opensuse.org/opensuse-security-announce/2020-09/msg00083.html Üretici bülteni
- github.com/roundcube/roundcubemail/releases/tag/1.4.4 Diğer
- github.com/roundcube/roundcubemail/compare/1.4.3...1.4.4 Diğer
- roundcube.net/…04/29/security-updates-1.4.4-1.3.11-and-1.2.10 Diğer
- github.com/…ommit/fcfb099477f353373c34c8a65c9035b06b364db3 Diğer
- github.com/…r/CVE-2020-12641-Command%20Injection-Roundcube Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.