Tehdit aktörleri, eski Sovyetler Birliği'nin halefi olan Bağımsız Devletler Topluluğu (CIS) bölgesindeki hükümet kuruluşlarını hedeflemek için Roundcube Webmail müşterisindeki bir güvenlik açığından yararlanıyor.
Eylül ayında Rus siber güvenlik şirketi pozitif teknolojileri tarafından bir saldırı keşfedildi, ancak araştırmacılar tehdit oyuncusu etkinliğinin Haziran ayında başladığını belirledi.
Roundcube Webmail, ticari ve devlet kuruluşları arasında popüler olan işlevselliğini genişletmesi için eklentilere destek içeren açık kaynaklı, PHP tabanlı bir webmail çözümüdür.
Tehdit oyuncusu, özel olarak hazırlanmış bir e-posta açarken Roundcube sayfasında kötü amaçlı JavaScript kodunun yürütülmesine izin veren CVE-2024-37383 olarak tanımlanan orta şiddetli bir XSS (siteler arası komut dosyası) güvenlik açığından yararlandı.
Sorun, e -postadaki SVG öğelerinin uygunsuz işlenmesi ile tetiklenir, bu da sözdizimlerini atlayan ve kullanıcının sayfasında kötü amaçlı kodun yürütülmesine izin verir.
Pozitif teknolojiler, saldırıların görünür içerik ve yalnızca .doc eki olmayan e -postalar kullandığını bildirir. Bununla birlikte, tehdit oyuncusu, istemcinin işlediği, ancak mesaj gövdesinde belirli etiketlere dayalı olarak gösterilmediği, “”, bu durumda, “” koduna gizli bir yükü yerleştirdi.
Yük, bir “href” değeri olarak gizlenmiş bir Base64 kodlu JavaScript kodu parçasıdır. Kurbanın dikkatini dağıtmak için posta sunucusundan bir tuzak belgesini (Road Map.doc) indirir.
Aynı zamanda, posta sunucusundan mesaj istemek için HTML sayfasına yetkisiz bir giriş formu enjekte eder.
"Kullanıcıya görüntülenen HTML sayfasına RCMLoginUser ve RCMLoginPWD (kullanıcının giriş ve parolası) alanlarıyla bir yetkilendirme formu" - Pozitif Teknolojiler
Araştırmacılara göre, tehdit oyuncusu iki alanın manuel veya otomatik olarak doldurulmasını ve böylece hedefin hesap kimlik bilgilerini almasını bekler.
Eğer yaparlarsa, veriler yakın zamanda kayıtlı olan ve CloudFlare altyapısında barındırılan “libcdn [.] Org” adresinden uzak bir sunucuya gönderilir.
Araştırmacılar, saldırganların posta sunucusundan mesajları sunmak için Manageieve eklentisini kullandığını söylüyor.
CVE-2024-37383, 1.5.6'dan daha erken yuvarlak veri sürümlerini ve 1.6 ila 1.6.6 sürümlerini etkiler, bu nedenle bu sürümlerde hala sistem yöneticilerinin mümkün olan en kısa sürede güncellenmesi önerilir.
Güvenlik açığı, 19 Mayıs'ta Roundcube WebMail 1.5.7 ve 1.6.7'nin piyasaya sürülmesiyle ele alındı. Önerilen yükseltme olan en son mevcut sürüm 1 Eylül'de yayınlandı.
Roundcube kusurları, açık kaynaklı araç kullanan önemli kuruluşlar nedeniyle genellikle bilgisayar korsanları tarafından hedeflenir.
Bu yılın başlarında CISA, Roundcube'deki başka bir XSS hatası olan CVE-2023-43770'i hedefleyen bilgisayar korsanları hakkında uyardı ve federal kuruluşlara yamaya iki hafta verdi.
Ekim 2023'te, 'Kış Vivern' olarak bilinen Rus hackerlarının, CVE-2023-5631 olarak izlenen, Avrupa'daki hükümet kuruluşlarını ve düşünce tanklarını ihlal etmek için CVE-2023-5631 olarak izlenen sıfır gün XSS kusurundan yararlandığı gözlendi.
Haziran 2023'te, APT28 grubunun Gru bilgisayar korsanları, Ukrayna'da devlet kurumları da dahil olmak üzere birden fazla kuruluş tarafından kullanılan e -posta sunucularından gelen bilgileri çalmak için dört Roundcube kusurundan yararlandı.
CISA, yazılım geliştiricilerini XSS güvenlik açıklarını ayıklamaya çağırıyor
Google: 2023'te açıklanan sömürülen kusurların% 70'i sıfır gündü
Solarwinds Web Yardım Masası Kusur artık saldırılarda sömürüldü
Mozilla, Firefox'u Saldırılarda Aktif Olarak Sömürülen Zero-Day'i düzeltir
Qualcomm Yamaları Saldırılarda Yüksek Şeyişlilik Sıfır Gün Sömürüldü
Kaynak: Bleeping Computer