Podatności SmarterMail

SmarterMail przed buildem 9777 zawiera podatność na eskalację uprawnień, w której tokeny dostępu i odświeżania JWT zawierają roszczenie roli osadzone w momencie wydania, które nie jest ponownie weryfikowane względem aktualnej roli konta przy użyciu przez POST /api/v1/auth/refresh-token. Atakujący, którzy przechwycą token odświeżania wydany przed degradacją administratora lub zdegradowany użytkownik, którego sesja nie była aktywnie odpytywana w momencie degradacji, mogą odtworzyć nieaktualny token, aby uzyskać nowy token dostępu zachowujący wyższą rolę uprawnień.

SmarterMail przed buildem 9777 zawiera podatność Stored XSS typu mutation, która pozwala zdalnym atakującym wstrzyknąć wykonywalny skrypt, umieszczając ładunki wewnątrz elementu <style> zagnieżdżonego w obcej treści MathML (<math><mtext><mglyph>), który niestandardowy sanitizer HTML traktuje jako nieaktywny tekst CDATA, ale przeglądarki ponownie parsują jako aktywny znacznik. Atakujący mogą dostarczyć spreparowaną wiadomość kalendarza (iCal) zawierającą ładunek <img src=x onerror=...>, który wykonuje się automatycznie w sesji webmail odbiorcy pod /interface/message-iframe po otwarciu wiadomości, umożliwiając wykonanie skryptu i eksfiltrację danych bez ograniczeń zezwalającej Content-Security-Policy interfejsu.

SmarterMail przed buildem 9777 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującemu posiadającemu token dostępu o zakresie SysAdmin obejść kontrolę zawartości katalogu skryptów Volume Mount poprzez utworzenie nowej domeny pocztowej z dowolną ścieżką główną FileStore wewnątrz zaufanego katalogu Scripts za pomocą punktu końcowego domain-put. Atakujący mogą ujawnić ścieżkę Scripts przez punkt końcowy AddOrUpdateMount, wyczyścić czarną listę rozszerzeń przesyłania przez punkt końcowy global-mail, a następnie przesłać złośliwy skrypt przez zwykłe API przesyłania plików poczty, tak aby zapisanie CommandMount uruchomiło RunScript przed walidacją, co skutkuje odwrotną powłoką wykonującą się jako konto usługi SmarterMail z uprawnieniami na poziomie SYSTEM.