|
18.08.2026 09:06 Uhr |
Das Webmail-System Roundcube hat mit aktualisierter Software mehrere Sicherheitslücken geschlossen. Die teils hochriskanten Schwachstellen ermöglichen Angreifern etwa das Einschmuggeln von Schadcode. Die Updates stehen bereits seit rund zwei Wochen bereit, nun wurden die Schwachstelleneinträge der darin geschlossenen Lecks nachgeschoben.
Die Versionsankündigung zu Roundcube 1.6.18 und 1.7.3 nennt bereits einige der darin behobenen sicherheitsrelevanten Fehler, geht aber nicht auf Details ein und nennt auch keine Schwachstelleneinträge. Die jetzt veröffentlichten CVE-Einträge liefern hingegen auch eine Risikoeinschätzung mit. Von zehn beseitigten Sicherheitslücken gelten den Entwicklern demnach drei als hochriskant.
Am gravierendsten ist demnach eine Lücke im „markasjunk“-Plug-in. Mittels präparierter ersetzter Platzhalter-Werte können Angreifer aus dem Netz im „cmd_learn“-Treiber beliebigen Code einführen und ausführen. Voraussetzung dafür ist, dass die Roundcube-Instanz das Plug-in mit dem Treiber nutzt – standardmäßig ist es offenbar deaktiviert (CVE-2026-74997, CVSS 8.8, Risiko „hoch“). Außerdem wurden Antworten vom CSS-Proxy nicht überprüft, wodurch sensible Informationen abfließen konnten oder Cross-Site-Scripting mittels MIME-Sniffing möglich war (CVE-2026-74998, CVSS 7.2, Risiko „hoch“). In der Mail-Suche und bei Abweichung der Byte-Zählung von „LITERAL+“, einer Erweiterung des IMAP-Protokolls, konnten Angreifer durch eine IMAP-Befehlsinjektion ihre Rechte ausweiten oder unbefugt an Informationen gelangen (CVE-2026-75002, CVSS 7.1, Risiko „hoch“).
Sieben weitere Schwachstellen stufen die Programmierer als weniger schwerwiegend ein:
Admins sollten ihre Roundcube-Instanzen auf den aktuellen Stand bringen, um die Angriffsfläche für Kriminelle zu reduzieren. Schwachstellen in der Webmail-Software werden immer wieder Ziel von Angriffen bösartiger Akteure, wie zuletzt im Februar dieses Jahres.
(dmk)