Kritische Lücke in Roundcube: Mail hackt Server | heise Security
▻http://m.heise.de/security/meldung/Kritische-Luecke-in-Roundcube-Mail-hackt-Server-3566864.html
Jetzt patchen!
Für den Angriff müssen ein paar nicht unübliche Rahmenbedinungen erfüllt sein: Roundcube muss so konfiguriert sein, dass es die mail()-Funktion von PHP nutzt und diese muss wiederum sendmail nutzen. Zudem muss der safe_mode von PHP deaktivierrt sein. Abhilfe schafft die Roundcube-Version 1.2.3, betroffen sind alle älteren. Das Update beseitigt zudem etliche Bugs. Für den Versionszweig 1.1.x gibt es ebenfalls einen Sicherheits-Update, die Versionsnummer lautet 1.1.7.
Wer einen Server mit Roundcube betreibt, sollte umgehend auf eine der abgesicherten Versionen umsteigen. Es ist nur eine Frage der Zeit, bis sich Angreifer gezielt auf die Suche nach verwundbaren Systemen begeben und diese per Mail unter ihre Kontrolle bringen. Aufgrund der großen Verbreitung von Roundcube und der hohen Ausnutzbarkeit der Lücke sind Roundcube-Server ein attraktives Ziel.