Roundcube ist ein weit verbreiteter, quelloffener Webmail-Client, der es
Nutzerinnen und Nutzern ermöglicht, E-Mails direkt im Browser zu verwalten. Die
PHP-basierte Anwendung wird häufig von Webhostern, Universitäten, Unternehmen
und Behörden eingesetzt, da sie sich einfach installieren lässt und eine
benutzerfreundliche Oberfläche bietet. Doch eine neu entdeckte, als kritisch
eingestufte Sicherheitslücke zwingt Admins nun zum schnellen Handeln.

In älteren Roundcube-Versionen (vor 1.5.10 bzw. 1.6.11) existiert eine Schwachstelle, über die Angreifer beliebigen Code auf dem Server ausführen können – vorausgesetzt, sie sind bereits als Benutzer eingeloggt. Die Ursache liegt in der Datei program/actions/settings/upload.php. Dort wird der Parameter from, der etwa beim Hochladen von Konfigurationsdateien übergeben wird, nicht ausreichend validiert. Ein Angreifer kann diesen Parameter manipulieren, sodass Roundcube eine URL aufruft, deren Inhalt dann unkontrolliert verarbeitet wird. Dies ermöglicht es, fremden Code von einem externen Server herunterzuladen und direkt auszuführen – ein klassisches Einfallstor etwa für Webshells oder Remote Access Tools.

Anfang Juni wurde ein Proof-of-Concept auf GitHub veröffentlicht, das die Lücke voll ausnutzt. Die dort bereitgestellte Vorlage für den Schwachstellenscanner Nuclei zeigt, wie einfach eine entsprechend präparierte URL automatisiert genutzt werden kann, um Remote-Code einzuschleusen. Sobald sich ein Angreifer über ein legitimes E-Mail-Konto Zugang zur Roundcube-Oberfläche verschafft hat, kann er den Upload-Mechanismus gezielt missbrauchen.

Zwar ist eine Authentifizierung notwendig, um die Lücke auszunutzen – das Risiko bleibt dennoch hoch. Laut dem Sicherheitsteam von FearsOff, das die Schwachstelle entdeckt hat, besteht sie bereits seit rund zehn Jahren und betrifft möglicherweise mehr als 53 Millionen Systeme weltweit. Die Angreifbarkeit ist daher flächendeckend gegeben, insbesondere bei öffentlich erreichbaren Roundcube-Installationen.

Bislang sind zwar noch keine aktiven Angriffskampagnen bekannt, doch angesichts der Verfügbarkeit eines funktionierenden Exploits ist in naher Zukunft mit ersten Attacken zu rechnen. Admins sollten daher unverzüglich handeln und ihre Systeme auf die gepatchten Versionen 1.5.10 oder 1.6.11 aktualisieren. Zusätzlich empfiehlt es sich, die Server-Logs auf verdächtige Aktivitäten zu prüfen, Datei-Uploads restriktiver zu konfigurieren und gegebenenfalls temporär eine Web Application Firewall (WAF) zur Absicherung einzusetzen.