Содержание
Специалисты по кибербезопасности от Check Point обнаружили дыру в инструменте webmail Squirrelmail. Официального исправления уязвимости пока нет.
С помощью файловых вложений можно считывать данные с сервера в качестве пользователя почтового клиента.
Squirrelmail — это интерфейс веб-почты, написанный на PHP и бесплатное программное обеспечение. Он используется многими почтовыми серверами, он также часто используется в университетах.
Похоже, что проект не развивается. Последнее обновление было выпущено в 2011 году, а последнее сообщение на сайте проекта в 2013. Однако, несмотря на бездействие на сайте разработчика, репозиторий исходного кода, все еще обновлялся, включая уязвимость безопасности, которая была обнаружена в 2017 году.
Обновлений нет: разработчик Squirrelmail недоступен
Вот уже несколько месяцев разработчик не выходит на связь. Тогда исследователи пошли другим путем и рассказали об этой уязвимости на конференции по IT-безопасности.
Суть уязвимости: Атака каталога Traversal Attack
Если пользователь загружает файл при письме электронной почты, он изначально временно сохраняется на сервере. Когда электронное письмо затем отправляется, клиент передает временное имя файла в веб-приложение. Проблема в том, что имя файла полностью контролируется потенциальным злоумышленником и может также содержать символы, такие как точки или слэши.
Это позволяет злоумышленнику выполнить атаку обхода каталога. Например, он мог указать путь формы «../../../../../etc/test.config», чтобы прочитать файл из каталога конфигурации «/ etc» . Затем файл прикрепляется к электронному письму, которое злоумышленник может отправить самому себе. Какие файлы могут быть считаны, зависит от точной конфигурации и прав веб-сервера, но во всех случаях есть возможность прочитать некоторые непубличные данные сервера.
В случае устройства контрольной точки Grunow и Kauer удалось прочитать временный файл, содержимое которого во многих случаях обеспечивает им прямой доступ к устройству. Check Point закрыла уязвимость, в отличие от самого проекта Squirrelmail.
Пользователям Squirrelmail теперь нужно подумать о том, как справиться с этой проблемой. Разумеется, конечно, лучше перейти на другой сервис электронной почты.
Squirrelmail остается популярным столь долгое время, так как он очень прост и хорошо работает, особенно при плохом интернет-соединении.
