CVE-2020-35730
Roundcube Webmail Cross-Site Scripting (XSS) Vulnerability
Beschreibung
CVE-2020-35730 ist eine Cross-Site-Scripting-Schwachstelle (XSS) in Roundcube Webmail, die in den Versionen vor 1.2.13, 1.3.x vor 1.3.16 und 1.4.x vor 1.4.10 auftritt. Ein Angreifer kann eine Klartext-E-Mail mit JavaScript-Code in einem Link-Referenz-Element senden, der von der Funktion linkref_addindex in rcube_string_replacer.php fehlerhaft verarbeitet wird. Durch erfolgreiche Ausnutzung dieser Sicherheitslücke kann ein Angreifer beliebigen JavaScript-Code im Browser des Opfers ausführen und so potenziell Sitzungsdaten stehlen oder Aktionen im Namen des Benutzers durchführen. Die CISA hat CVE-2020-35730 in ihren KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen, und der hohe EPSS-Score von 64,8 % (98. Perzentil) belegt die erhebliche Wahrscheinlichkeit aktiver Ausnutzung dieser Roundcube-Webmail-Schwachstelle.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| roundcube | webmail | < 1.2.13; >= 1.3.0, < 1.3.16; >= 1.4, < 1.4.10 |
| fedoraproject | fedora | 32; 33 |
| debian | debian linux | 9.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Referenzen
- https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=978491(Issue Tracking, Mailing List)
- https://github.com/roundcube/roundcubemail/compare/1.4.9...1.4.10(Patch)
- https://github.com/roundcube/roundcubemail/releases/tag/1.2.13(Release Notes)
- https://github.com/roundcube/roundcubemail/releases/tag/1.3.16(Release Notes)
- https://github.com/roundcube/roundcubemail/releases/tag/1.4.10(Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HCEU4BM5WGIDJWP6Z4PCH62ZMH57QYM2/(Mailing List, Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HMLIZWKMTRCLU7KZLEQHELS4INXJ7X5Q/(Mailing List, Release Notes)
- https://roundcube.net/download/(Product)
- https://www.alexbirnberg.com/roundcube-xss.html(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-35730(US Government Resource)
Schwachstellentyp
CWE-79: Improper Neutralization of Input During Web Page Generation (Cross-site Scripting)
Bei CVE-2020-35730 handelt es sich um eine Cross-Site-Scripting-Schwachstelle, bei der Benutzereingaben in E-Mail-Nachrichten nicht korrekt bereinigt werden, bevor sie in die HTML-Ausgabe der Webmail-Oberfläche eingefügt werden. In Roundcube Webmail manifestiert sich diese Schwäche konkret in der Verarbeitung von Link-Referenz-Elementen in Klartext-E-Mails durch die Funktion linkref_addindex.
Mehr erfahren: CWE-79 — Improper Neutralization of Input During Web Page Generation
Auswirkungsanalyse
CVE-2020-35730 erhält einen CVSS-Score von 6.1 (MEDIUM) nach CVSS v3.1 und ist über das Netzwerk ausnutzbar ohne physischen Zugang zum Zielsystem. Die Angriffskomplexität ist gering, was bedeutet, dass keine besonderen Voraussetzungen für die Ausnutzung erforderlich sind. Es werden keine Authentifizierungsdaten benötigt, jedoch ist eine Benutzerinteraktion erforderlich — das Opfer muss die manipulierte E-Mail in Roundcube Webmail öffnen. Der Scope ist Changed, was bedeutet, dass die Schwachstelle Auswirkungen über die verwundbare Komponente hinaus haben kann, beispielsweise auf andere Webanwendungen im gleichen Browser-Kontext. Vertraulichkeit (Low) und Integrität (Low) sind betroffen, da ein Angreifer über XSS Sitzungscookies auslesen oder Inhalte der Webmail-Oberfläche manipulieren kann, während die Verfügbarkeit nicht beeinträchtigt wird. Der EPSS-Score von 64,8 % im 98. Perzentil unterstreicht die hohe Wahrscheinlichkeit aktiver Ausnutzung dieser Schwachstelle.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2020-35730 bestätigt und die Schwachstelle in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen, mit einer Behebungsfrist bis zum 13. Juli 2023. Ob diese Schwachstelle in Zusammenhang mit Ransomware-Angriffen steht, ist derzeit nicht bekannt. Der EPSS-Score von 64,8 % (98. Perzentil) deutet auf eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung hin, was die Dringlichkeit der Behebung zusätzlich unterstreicht. In den öffentlichen Referenzen sind zwar keine dedizierten Exploit-Codes verlinkt, die Aufnahme in den KEV-Katalog bestätigt jedoch, dass funktionsfähige Exploits existieren und in der Praxis eingesetzt werden.
Behebung
- Sofortige Aktualisierung durchführen: Roundcube Webmail gemäß den Herstelleranweisungen auf eine gepatchte Version aktualisieren — mindestens Version 1.2.13, 1.3.16 oder 1.4.10, je nach eingesetztem Release-Zweig. Falls eine Aktualisierung nicht möglich ist, sollte die Nutzung des Produkts eingestellt werden.
- Versionsabhängige Upgrade-Pfade prüfen: Für Roundcube 1.2.x auf 1.2.13 aktualisieren (Release Notes), für 1.3.x auf 1.3.16 (Release Notes) und für 1.4.x auf 1.4.10 (Release Notes).
- Zwischenzeitliche Schutzmaßnahmen implementieren: Bis zur Aktualisierung eine Web Application Firewall (WAF) mit XSS-Filterregeln vor die Roundcube-Installation schalten. Zusätzlich Content-Security-Policy-Header konfigurieren, um die Ausführung von Inline-JavaScript einzuschränken.
- Protokollanalyse und Überwachung: Webserver- und Anwendungsprotokolle auf verdächtige Anfragen und ungewöhnliche E-Mail-Inhalte prüfen, insbesondere auf JavaScript-Code in Klartext-Nachrichten. Sitzungsprotokolle auf Anzeichen von Session-Hijacking untersuchen.
- Langfristige Härtung: Eingabevalidierung und Ausgabeescaping in der gesamten Webmail-Anwendung überprüfen und sicherstellen, dass alle benutzerkontrollierten Daten vor der HTML-Ausgabe korrekt bereinigt werden.
Technische Details
CVE-2020-35730 betrifft die Funktion linkref_addindex in der Datei rcube_string_replacer.php von Roundcube Webmail. Diese Funktion ist für die Verarbeitung von Link-Referenz-Elementen in Klartext-E-Mails zuständig und wandelt diese in anklickbare HTML-Links um. Die Schwachstelle entsteht, weil JavaScript-Code innerhalb eines Link-Referenz-Elements nicht ordnungsgemäß bereinigt wird, bevor er in die HTML-Ausgabe eingefügt wird. Ein Angreifer kann eine speziell präparierte Klartext-E-Mail senden, deren Link-Referenzen schädlichen JavaScript-Code enthalten. Wenn das Opfer diese E-Mail in der Roundcube-Webmail-Oberfläche öffnet, wird der eingebettete Code im Browser-Kontext des Benutzers ausgeführt. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N) bestätigt die netzwerkbasierte Ausnutzbarkeit bei geringer Komplexität, wobei der geänderte Scope darauf hindeutet, dass der XSS-Angriff über den Kontext der verwundbaren Roundcube-Komponente hinaus wirken kann.
Häufig gestellte Fragen
Wird CVE-2020-35730 aktiv ausgenutzt?
Ja, die CISA hat die aktive Ausnutzung von CVE-2020-35730 bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen. Die Behebungsfrist wurde auf den 13. Juli 2023 festgelegt. Der EPSS-Score von 64,8 % im 98. Perzentil belegt die hohe Wahrscheinlichkeit weiterer Ausnutzung.
Welche Produkte sind von CVE-2020-35730 betroffen?
Betroffen sind Roundcube Webmail in den Versionen vor 1.2.13, 1.3.x vor 1.3.16 und 1.4.x vor 1.4.10. Darüber hinaus sind betroffene Pakete auch in Fedora und Debian Linux enthalten, die Roundcube Webmail als Paket ausliefern.
Wie behebe ich CVE-2020-35730?
Die wichtigste Maßnahme ist die Aktualisierung von Roundcube Webmail auf die gepatchten Versionen 1.2.13, 1.3.16 oder 1.4.10, je nach eingesetztem Release-Zweig. Bis zur Aktualisierung sollten WAF-Regeln zur XSS-Filterung und Content-Security-Policy-Header als Zwischenmaßnahmen eingerichtet werden. Detaillierte Schritte finden sich im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2020-35730?
CVE-2020-35730 wird mit einem CVSS-Score von 6.1 als MEDIUM eingestuft. Trotz der mittleren Bewertung ist die Schwachstelle aufgrund der bestätigten aktiven Ausnutzung und des hohen EPSS-Scores von 64,8 % (98. Perzentil) als dringend zu behandeln. Der geänderte Scope bedeutet zudem, dass Auswirkungen über die Webmail-Anwendung hinaus möglich sind.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.