- Aktif istismar
- CWE-89
CVE-2021-44026
Roundcube Webmail'de arama parametreleri üzerinden SQL enjeksiyonu
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1804 gün
- Kaydı açan
- mitre
Yönetici özeti
Kurumun web tabanlı e-posta sisteminde, saldırganların girişe gerek duymadan veri tabanına müdahale etmesine izin veren kritik bir açık bulunuyor. Açığın gerçek saldırılarda kullanıldığı bilindiği için e-posta ve kullanıcı bilgilerinin çalınma veya değiştirilme riski yüksektir. Güncelleme gecikmeden yapılmalıdır.
ÖzetTürkçe
Roundcube Webmail'in 1.3.17 öncesi sürümlerinde ve 1.4.12 öncesindeki 1.4.x sürümlerinde, search veya search_params parametreleri üzerinden SQL enjeksiyonu yapılabilmektedir. Açık kimlik doğrulaması gerektirmeden ağ üzerinden istismar edilebilir ve CWE-89 kapsamında CVSS 9.8 (kritik) olarak puanlanmıştır. Bu zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer almaktadır; yani aktif olarak istismar edildiği bilinmektedir. Roundcube Webmail kullanan tüm sunucular etkilenir.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan veritabanı sorguları üzerinde kontrol sağlayarak e-posta sistemindeki verileri okuyabilir, değiştirebilir veya silebilir. Bu durum hizmetin kesintiye uğramasına da yol açabilir.
Kaynaktaki açıklama (İngilizce)
Roundcube before 1.3.17 and 1.4.x before 1.4.12 is prone to a potential SQL injection via search or search_params.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Roundcube Webmail'i 1.3.x kolu için 1.3.17 veya üzeri, 1.4.x kolu için 1.4.12 veya üzeri bir sürüme güncelleyin. Genel öneri
- Güncellemeyi satıcı talimatlarına göre uygulayın. CISA
- Güncelleme hemen yapılamıyorsa Roundcube arayüzüne erişimi geçici olarak güvenilir IP adresleriyle veya VPN ile sınırlandırın. Genel öneri
Ek önlemler
- Web sunucusu ve uygulama günlüklerinde search ve search_params parametrelerini içeren olağandışı veya hata üreten istekleri inceleyin. Genel öneri
- Roundcube'un veritabanı kullanıcısına yalnızca gereken yetkileri verin. Genel öneri
- Bir web uygulaması güvenlik duvarı (WAF) ile SQL enjeksiyonu denemelerini engelleyin. Genel öneri
- Sistemin daha önce istismar edilmiş olabileceğini göz önünde bulundurarak şüpheli oturumları ve parola değişikliklerini kontrol edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Roundcube Webmail | Sürüm belirtilmemiş | – |
Kaynaklar10 kaynak
- CVE.org kaydı
- NVD kaydı
- lists.fedoraproject.org/…t.org/message/TP3Y5RXTUUOUODNG7HFEKWYNIPIT2NL4 Üretici bülteni
- lists.fedoraproject.org/…t.org/message/NDVGIZMQJ5IOM47Y3SAAJRN5VPANKTKO Üretici bülteni
- debian.org/security/2021/dsa-5013 Üretici bülteni
- bugs.debian.org/1000156 Diğer
- github.com/…ommit/c8947ecb762d9e89c2091bda28d49002817263f1 Diğer
- github.com/…ommit/ee809bde2dcaa04857a919397808a7296681dcfa Diğer
- lists.debian.org/debian-lts-announce/2021/12/msg00004.html Diğer
- roundcube.net/…12/security-updates-1.4.12-and-1.3.17-released Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.