Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-79

CVE-2024-42009

Roundcube Webmail'de e-posta gövdesi kaynaklı siteler arası betik çalıştırma (XSS)

Roundcube Webmail

Kritik 9,3 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
814 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 9 Haz 2025 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 30 Haz 2025.

Yönetici özeti

Kurumda Roundcube web e-posta kullanılıyorsa, saldırgan tek bir hazırlanmış e-posta ile çalışanların yazışmalarını okuyabilir ve onların adına e-posta gönderebilir. Zafiyet aktif olarak istismar edilmektedir, bu nedenle güncelleme gecikmeden yapılmalıdır.

ÖzetTürkçe

Roundcube Webmail'in 1.5.7 ve öncesi ile 1.6.7 ve öncesindeki 1.6.x sürümlerinde, program/actions/mail/show.php dosyasındaki message_body işlevinde bir sanitizasyon geri alma (desanitization) sorunu bulunmaktadır. Bu sorun nedeniyle özel hazırlanmış bir e-posta mesajı, alıcı mesajı açtığında kötü amaçlı betik çalıştırabilir. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesine 2025-06-09 tarihinde eklenmiştir ve aktif olarak istismar edilmektedir.

Saldırgan ne yapabilir?

Uzaktan saldırgan, kurbanın e-postalarını okuyabilir ve kurban adına e-posta gönderebilir. Bunun için yalnızca kurbanın hazırlanmış mesajı açması yeterlidir.

Kaynaktaki açıklama (İngilizce)

A Cross-Site Scripting vulnerability in Roundcube through 1.5.7 and 1.6.x through 1.6.7 allows a remote attacker to steal and send emails of a victim via a crafted e-mail message that abuses a Desanitization issue in message_body() in program/actions/mail/show.php.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Roundcube Webmail'i üreticinin bu zafiyeti gideren güncel sürümüne yükseltin; 1.5.7 ve öncesi ile 1.6.7 ve öncesindeki 1.6.x sürümleri etkilenmektedir. Genel öneri
  2. Üreticinin talimatlarına göre azaltım önlemlerini uygulayın; azaltım önlemleri mümkün değilse ürünün kullanımını bırakın. CISA
  3. Güncelleme yapılana kadar şüpheli veya bilinmeyen gönderenlerden gelen e-postaların web arayüzünde açılmasını kullanıcılar için kısıtlayın ve erişimi mümkünse yalnızca güvenilir ağlara açın. Genel öneri

Ek önlemler

  • Roundcube sunucusunda kullanıcıların beklenmedik e-posta gönderimlerini ve olağan dışı oturum etkinliklerini kontrol edin. Genel öneri
  • Kullanıcıları şüpheli e-postaları açmamaları ve fark ettikleri anormallikleri bildirmeleri konusunda bilgilendirin. Genel öneri
  • Güvenlik güncellemelerini düzenli takip edin ve web e-posta yazılımınızı güncel tutun. Genel öneri
  • Sömürü şüphesi varsa etkilenen kullanıcıların parolalarını değiştirin ve açık oturumları sonlandırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Roundcube Webmail Sürüm belirtilmemiş –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.