CISA предупреждава, че уязвимост на сървъра за електронна поща Roundcube, поправена през септември, сега се използва активно за атаки с кръстосани скриптове (XSS).

Недостатъкът в сигурността (CVE-2023-43770) е постоянна грешка при скриптиране на кръстосани сайтове (XSS), която позволява на нападателите да получат достъп до ограничена информация чрез обикновени/текстови съобщения със злонамерено създадени връзки при атаки с ниска сложност, изискващи взаимодействие с потребителя.

Уязвимостта засяга сървърите за електронна поща Roundcube, работещи с версии, по-нови от 1.4.14, 1.5.x преди 1.5.4 и 1.6.x преди 1.6.3.

„Силно препоръчваме да актуализирате всички продуктивни инсталации на Roundcube 1.6.x с тази нова версия“, заяви екипът по сигурността на Roundcube, когато преди пет месеца публикува актуализации за сигурност CVE-2023-43770.

Въпреки че не предостави никакви подробности за атаките, CISA добави уязвимостта към своя каталог с известни експлоатирани уязвимости, като предупреди, че подобни пропуски в сигурността са „чести вектори на атаки за злонамерени хакери и представляват значителен риск за федералното предприятие“.

CISA също така нареди на федералните агенции от гражданската изпълнителна власт на САЩ (FCEB) да защитят уебмейл сървърите на Roundcube срещу този бъг в сигурността в рамките на три седмици, до 4 март, както е разпоредено в задължителна оперативна директива (BOD 22-01), издадена през ноември 2021 г.

Въпреки че основният фокус на каталога KEV е да предупреждава федералните агенции за уязвимости, които трябва да бъдат поправени възможно най-скоро, на частните организации по света също се препоръчва да определят приоритети за отстраняване на този недостатък.

В момента Shodan проследява над 132 000 сървъра на Roundcube, достъпни в интернет. Въпреки това няма информация колко от тях са уязвими към продължаващите атаки, използващи експлойта CVE-2023-43770.

Друг недостатък на Roundcube – съхранена уязвимост за скриптиране на кръстосани сайтове (XSS), проследена като CVE-2023-5631 – е бил обект още от  нулевия ден на руската хакерска група Winter Vivern (известна още като TA473) поне до 11 октомври.

Нападателите са използвали HTML имейл съобщения, съдържащи внимателно подготвени злонамерени SVG документи, предназначени за дистанционно инжектиране на произволен JavaScript код.

Полезният товар на JavaScript, пуснат при атаките през октомври, позволи на руските хакери да откраднат имейли от компрометирани уебмейл сървъри на Roundcube, принадлежащи на правителствени организации и мозъчни тръстове в Европа.