Рекомендация Debian по безопасности

DSA-4674-1 roundcube -- обновление безопасности

Дата сообщения:

05.05.2020

Затронутые пакеты:

Уязвим:

Да

Ссылки на базы данных по безопасности:

В системе отслеживания ошибок Debian: Ошибка 959140, Ошибка 959142.
В каталоге Mitre CVE: CVE-2020-12625, CVE-2020-12626.

Более подробная информация:

Было обнаружено, что roundcube, решение для IMAP-серверов на основе AJAX и возможностью выбора тем оформления, неправильно обрабатывает и выполняет очистку запросов. Это может позволить удалённому злоумышленнику выполнить либо подделку межсайтовых запросов (CSRF), приводящую к выходу аутентифицированного пользователя, либо межсайтовый скриптинг (XSS), приводящий к выполнению произвольного кода.

В предыдущем стабильном выпуске (stretch) эти проблемы были исправлены в версии 1.2.3+dfsg.1-4+deb9u4.

В стабильном выпуске (buster) эти проблемы были исправлены в версии 1.3.11+dfsg.1-1~deb10u1.

Рекомендуется обновить пакеты roundcube.

С подробным статусом поддержки безопасности roundcube можно ознакомиться на соответствующей странице отслеживания безопасности по адресу https://security-tracker.debian.org/tracker/roundcube