CVE-2020-12641
Roundcube Webmail Remote Code Execution Vulnerability
Beschreibung
CVE-2020-12641 ist eine kritische Command-Injection-Schwachstelle in Roundcube Webmail vor Version 1.4.4. Die Sicherheitslücke befindet sich in der Datei rcube_image.php und ermöglicht es Angreifern, über Shell-Metazeichen in den Konfigurationseinstellungen im_convert_path oder im_identify_path beliebigen Code auf dem Server auszuführen. Mit einem CVSS-Score von 9.8 (CRITICAL) stellt diese Schwachstelle eine maximale Bedrohung dar, da sie ohne Authentifizierung und ohne Benutzerinteraktion aus dem Netzwerk ausgenutzt werden kann. Die CISA hat CVE-2020-12641 in den KEV-Katalog aufgenommen, und der EPSS-Score von 93,1 % (99. Perzentil) weist auf eine nahezu sichere aktive Ausnutzung dieser Roundcube-Webmail-Schwachstelle hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| roundcube | webmail | >= 1.2.0, < 1.2.10; >= 1.3.0, < 1.3.11; >= 1.4.0, < 1.4.4 |
| opensuse | backports sle | 15.0 |
| opensuse | leap | 15.1; 15.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://lists.opensuse.org/opensuse-security-announce/2020-09/msg00083.html(Mailing List, Third Party Advisory)
- https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-12641-Command%20Injection-Roundcube(Exploit, Third Party Advisory)
- https://github.com/roundcube/roundcubemail/commit/fcfb099477f353373c34c8a65c9035b06b364db3(Patch)
- https://github.com/roundcube/roundcubemail/compare/1.4.3...1.4.4(Release Notes)
- https://github.com/roundcube/roundcubemail/releases/tag/1.4.4(Release Notes)
- https://roundcube.net/news/2020/04/29/security-updates-1.4.4-1.3.11-and-1.2.10(Release Notes, Vendor Advisory)
- https://security.gentoo.org/glsa/202007-41(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-12641(US Government Resource)
Schwachstellentyp
CWE-78: Improper Neutralization of Special Elements used in an OS Command (OS Command Injection)
Bei CVE-2020-12641 handelt es sich um eine OS-Command-Injection-Schwachstelle, bei der Benutzereingaben nicht korrekt bereinigt werden, bevor sie an Betriebssystembefehle übergeben werden. In Roundcube Webmail manifestiert sich diese Schwäche in der Datei rcube_image.php, wo die Konfigurationswerte für im_convert_path und im_identify_path ohne ausreichende Filterung von Shell-Metazeichen in Systemaufrufe eingebunden werden.
Mehr erfahren: CWE-78 — Improper Neutralization of Special Elements used in an OS Command
Auswirkungsanalyse
CVE-2020-12641 erhält den höchstmöglichen CVSS-Score von 9.8 (CRITICAL) nach CVSS v3.1 und ist über das Netzwerk ausnutzbar ohne physischen Zugang zum Zielsystem. Die Angriffskomplexität ist gering, sodass keine besonderen Voraussetzungen für einen erfolgreichen Angriff erforderlich sind. Es werden keine Authentifizierungsdaten benötigt und keine Benutzerinteraktion ist erforderlich, was die Schwachstelle besonders gefährlich macht. Vertraulichkeit (High), Integrität (High) und Verfügbarkeit (High) sind vollständig kompromittiert — ein erfolgreicher Angriff kann zur vollständigen Übernahme des Servers führen, auf dem Roundcube Webmail betrieben wird. Der Angreifer kann beliebige Befehle mit den Rechten des Webserver-Prozesses ausführen, sensible Daten wie E-Mail-Inhalte und Anmeldeinformationen auslesen und den Dienst unterbrechen. Der EPSS-Score von 93,1 % im 99. Perzentil bestätigt die nahezu sichere aktive Ausnutzung dieser kritischen Schwachstelle.
Exploit-Reifegrad
Für CVE-2020-12641 ist öffentlich verfügbarer Exploit-Code vorhanden, der über DrunkenShells auf GitHub zugänglich ist. Die CISA hat die aktive Ausnutzung dieser Schwachstelle bestätigt und sie in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 13. Juli 2023. Der EPSS-Score von 93,1 % (99. Perzentil) deutet auf eine nahezu sichere aktive Ausnutzung in freier Wildbahn hin. Ob diese Schwachstelle in Zusammenhang mit Ransomware-Angriffen steht, ist derzeit nicht bekannt, jedoch macht die Möglichkeit zur Ausführung beliebiger Befehle auf dem Server sie zu einem attraktiven Ziel für verschiedenste Angriffsszenarien.
Behebung
- Sofortige Aktualisierung durchführen: Roundcube Webmail gemäß den Herstelleranweisungen auf mindestens Version 1.4.4 aktualisieren. Falls eine Aktualisierung nicht möglich ist, sollte die Nutzung des Produkts eingestellt werden. Der Sicherheitspatch ist unter roundcube.net verfügbar.
- Konfigurationswerte absichern: Die Einstellungen im_convert_path und im_identify_path in der Roundcube-Konfiguration überprüfen und sicherstellen, dass diese nur absolute Pfade zu vertrauenswürdigen Binärdateien enthalten. Konfigurationsdateien mit restriktiven Dateiberechtigungen schützen.
- Zwischenzeitliche Schutzmaßnahmen implementieren: Den Zugriff auf die Roundcube-Administration und die Bildverarbeitungsfunktionen durch Netzwerksegmentierung und Zugriffsbeschränkungen einschränken. Eine Web Application Firewall (WAF) mit Regeln zur Erkennung von Command-Injection-Mustern einsetzen.
- Protokollanalyse und Überwachung: Webserver-Logs und Systemprotokolle auf verdächtige Prozessaufrufe und ungewöhnliche Befehle prüfen. Insbesondere auf Shell-Metazeichen in HTTP-Anfragen an die Bildverarbeitungsfunktionen achten.
- Langfristige Härtung: Bildverarbeitungsfunktionen auf sicherere Alternativen umstellen (z. B. PHP-native Bibliotheken statt externer Kommandozeilentools). Eingabevalidierung für alle Konfigurationsparameter implementieren, die in Systemaufrufe einfließen.
Technische Details
CVE-2020-12641 betrifft die Datei rcube_image.php in Roundcube Webmail, die für die Bildverarbeitung zuständig ist. Die Schwachstelle entsteht, weil die Konfigurationseinstellungen im_convert_path und im_identify_path, die auf externe Bildverarbeitungstools wie ImageMagick verweisen, ohne ausreichende Bereinigung von Shell-Metazeichen in Systemaufrufe eingebunden werden. Ein Angreifer kann durch Manipulation dieser Konfigurationswerte beliebige Betriebssystembefehle einschleusen, die mit den Rechten des Webserver-Prozesses ausgeführt werden. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt die netzwerkbasierte Ausnutzbarkeit ohne Authentifizierung und ohne Benutzerinteraktion bei vollständiger Kompromittierung aller drei Schutzziele. Der Fix im Commit fcfb099 implementiert eine ordnungsgemäße Bereinigung der Pfadangaben vor deren Verwendung in Shell-Befehlen.
Häufig gestellte Fragen
Wird CVE-2020-12641 aktiv ausgenutzt?
Ja, die CISA hat die aktive Ausnutzung von CVE-2020-12641 bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen. Die Behebungsfrist wurde auf den 13. Juli 2023 festgelegt. Der EPSS-Score von 93,1 % im 99. Perzentil bestätigt die nahezu sichere aktive Ausnutzung in freier Wildbahn.
Welche Produkte sind von CVE-2020-12641 betroffen?
Betroffen ist Roundcube Webmail in allen Versionen vor 1.4.4. Darüber hinaus sind auch openSUSE Backports SLE und openSUSE Leap betroffen, die Roundcube Webmail als Paket ausliefern. Der Hersteller hat Sicherheitsupdates für die Versionszweige 1.4.x, 1.3.x und 1.2.x bereitgestellt.
Wie behebe ich CVE-2020-12641?
Die wichtigste Maßnahme ist die sofortige Aktualisierung von Roundcube Webmail auf mindestens Version 1.4.4 (bzw. 1.3.11 oder 1.2.10 für ältere Release-Zweige). Zusätzlich sollten die Konfigurationseinstellungen im_convert_path und im_identify_path überprüft und die Dateiberechtigungen der Konfigurationsdateien eingeschränkt werden. Detaillierte Schritte finden sich im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2020-12641?
CVE-2020-12641 wird mit dem höchstmöglichen CVSS-Score von 9.8 als CRITICAL eingestuft. Die Schwachstelle ermöglicht die Ausführung beliebiger Befehle auf dem Server ohne Authentifizierung und ohne Benutzerinteraktion. Der EPSS-Score von 93,1 % (99. Perzentil) zeigt, dass diese Schwachstelle mit nahezu sicherer Wahrscheinlichkeit aktiv ausgenutzt wird.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.