Обнаружены критические уязвимости в Mailcow: данные пользователей под угрозой

Недавно специалисты по кибербезопасности из SonarSource обнаружили две серьезные уязвимости в Mailcow, известном почтовом сервере на базе открытого исходного кода. Эти бреши оставляют открытым доступ к пользовательским данным и могут дать возможность злоумышленникам исполнить свой код на атакуемой системе. Проблемы касаются всех версий программы, выпущенных до апреля этого года.

Первая проблема, зарегистрированная как CVE-2024-30270, связана с возможностью злоумышленника изменить локальные пути файловой системы через функцию rspamd_maps(). Это может привести к выполнению несанкционированных команд на сервере. Вторая уязвимость, с кодом CVE-2024-31204, проявляется в форме уязвимости для межсайтового скриптинга (XSS) из-за недостаточной санитизации данных исключений. Это означает, что ошибочные или манипулированные данные могут быть преобразованы в JavaScript и выполнены в браузере пользователя, что угрожает безопасности административной панели.

Комбинация этих двух уязвимостей открывает двери для различных атак, в том числе для кражи конфиденциальной информации и захвата контроля над аккаунтами. Атакующий может внедрить вредоносный код через специально оформленные электронные письма, в которых используются стили CSS для загрузки контента с внешних ресурсов. Разработчики Mailcow уже призывают всех пользователей обновиться до последней версии, чтобы защитить свои системы от возможных угроз.