Phát hiện lỗ hổng 9 năm tuổi trong phần mềm Horde Webmail

[tuantran]

Mới đây, người dùng Horde Webmail đã được yêu cầu vô hiệu hóa tính năng tồn tại lỗ hổng an ninh, có thể bị lợi dụng để giành quyền truy cập hoàn toàn vào tài khoản email khi nạn nhân trước tệp đính kèm. Được biết, lỗ hổng này có “tuổi đời” lên tới 9 năm tuổi và chưa hề được vá.

​

"Lỗ hổng cho phép kẻ tấn công truy cập vào tất cả thông tin nhạy cảm và có lẽ cả những thông tin bí mật mà nạn nhân đã lưu trữ trong tài khoản email của họ. Từ đó, hacker có thể truy cập sâu hơn vào các dịch vụ nội bộ của tổ chức" - nhà nghiên cứu lỗ hổng Simon Scannell cho biết trong một báo cáo.

Horde Project là một bộ giao tiếp dựa trên trình duyệt miễn phí cho phép người dùng đọc, gửi và sắp xếp các email cũng như quản lý và chia sẻ lịch, danh bạ, nhiệm vụ, ghi chú, tệp và dấu trang.

Lỗ hổng được mô tả như một phần của sự thay đổi mã được thực hiện vào ngày 30 tháng 11 năm 2012, liên quan đến trường hợp lỗi tập lệnh trên nhiều trang web được lưu trữ "bất thường" (persistent XSS) cho phép hacker tạo tài liệu OpenOffice để khi được xem trước, nó sẽ tự động thực thi tải JavaScript tùy ý.

Các cuộc tấn công XSS được lưu trữ phát sinh khi một tập lệnh độc hại được đưa trực tiếp vào máy chủ của ứng dụng web tồn tại lỗ hổng, chẳng hạn như trường nhận xét của trang web, khiến mã không đáng tin cậy được truy xuất và truyền đến trình duyệt của nạn nhân mỗi khi thông tin được lưu trữ được yêu cầu.

"Lỗ hổng được kích hoạt khi người dùng xem tài liệu OpenOffice đính kèm trong trình duyệt", Scannell cho biết. "Kết quả là kẻ tấn công có thể đánh cắp tất cả các email mà nạn nhân đã gửi và nhận”.

Thậm chí tệ hơn, nếu tài khoản quản trị viên có email độc hại, được cá nhân hóa bị xâm nhập thành công, kẻ tấn công có thể lợi dụng quyền truy cập đặc quyền này để chiếm toàn bộ máy chủ webmail.

Lỗ hổng lần đầu được báo cáo cho những người bảo trì dự án vào ngày 26 tháng 8 năm 2021, nhưng cho đến nay vẫn chưa có bản sửa lỗi nào được triển khai, mặc dù nhà cung cấp đã thừa nhận lỗ hổng này.

Giải pháp tạm thời cho người dùng Horde Webmail là vô hiệu hóa hiển thị tệp đính kèm OpenOffice bằng cách chỉnh sửa tệp config/mime_drivers.php để thêm tùy chọn cấu hình 'disable' >>> true vào trình xử lý mime của OpenOffice.

Nguồn: The Hacker News​