CVE-2024-42009

Falha de Cross-Site Scripting armazenado no Roundcube Webmail, explorável por um único e-mail malicioso que a vítima apenas visualiza — sem clique em link, sem download de anexo. É pré-autenticação do ponto de vista do atacante (basta enviar o e-mail) mas pós-autenticação do ponto de vista da vítima (ela precisa estar logada no webmail e abrir a mensagem). Está no catálogo KEV da CISA com exploração confirmada e foi associada a campanhas de espionagem contra instituições governamentais.

A vulnerabilidade é uma CWE-79 (XSS) que o próprio fornecedor descreve como um problema de 'desanitização' na função message_body(), em program/actions/mail/show.php — a rotina responsável por montar o HTML da mensagem que será exibido ao usuário. O Roundcube sanitiza o HTML recebido no corpo do e-mail (via seu filtro washtml) para remover tags e atributos capazes de executar script, mas a etapa de pós-processamento que reconstrói o corpo da mensagem para exibição reintroduz markup que o sanitizador havia neutralizado. Em outras palavras: o conteúdo passa pelo filtro, é considerado seguro, mas uma transformação posterior no próprio código do Roundcube desfaz parte dessa sanitização antes do HTML chegar ao DOM do navegador da vítima.

O atacante controla integralmente o corpo (HTML) do e-mail enviado à vítima — é o único insumo necessário. Não há necessidade de anexos especiais nem de engenharia social alem de fazer a vítima abrir/visualizar a mensagem na interface web. A pesquisa foi conduzida pela Sonar (Oskar Zeino-Mahmalat), que reportou esta falha junto com duas outras no mesmo lote (CVE-2024-42008, vazamento via anexos não-HTML/SVG, e CVE-2024-42010, leak de conteúdo remoto via filtragem CSS insuficiente) — as três atingem o mesmo pipeline de renderização de mensagens.

O impacto no vetor CVSS (S:C, C:H, I:H, A:N) reflete que o script injetado roda no contexto de sessão do webmail da vítima, com acesso à sessão autenticada e às APIs internas do Roundcube — não é XSS refletido isolado, é execução no mesmo contexto que lê e envia e-mail em nome do usuário.

O vetor é o mais simples possível para XSS armazenado: enviar um e-mail com HTML malicioso para a caixa de entrada da vítima. Quando a vítima abre essa mensagem no cliente web do Roundcube (versões vulneráveis), o script injetado executa no contexto da sessão autenticada dela, dentro do próprio webmail. Não é necessária interação além de visualizar o e-mail — não precisa clicar em link nem habilitar imagens remotas, o que caracteriza risco de 'zero-click' do ponto de vista da vítima, ainda que a UI marcada no CVSS seja 'Required' (a ação de abrir a mensagem).

Com o script rodando no contexto do webmail, o atacante consegue realizar ações que a vítima poderia fazer via interface: ler e exfiltrar o conteúdo de e-mails, e — conforme descrito na descrição oficial — enviar e-mails em nome da vítima, o que viabiliza movimento lateral (spear-phishing interno) e persistência de coleta de inteligência sem precisar comprometer credenciais.

O CVE está no catálogo KEV da CISA, confirmando exploração ativa observada, e existe PoC pública e template Nuclei, o que reduz a barreira técnica para reprodução por qualquer ator, não só grupos avançados. A Sonar destacou o risco elevado para instalações de webmail usadas por órgãos governamentais, dado o padrão de uso do Roundcube nesse setor.

Atualizar é a única mitigação real. Para o ramo 1.5.x, aplicar 1.5.8 ou posterior; para o ramo 1.6.x, aplicar 1.6.8 ou posterior. Instalações em 1.7.x anteriores às correções específicas dessa série também devem seguir o changelog de segurança do respectivo ramo — mas a CVE-2024-42009 em si foi corrigida nas versões 1.5.8 e 1.6.8, conforme o advisory oficial.

Não há flag de configuração ou paliativo documentado pelo fornecedor que neutralize essa falha sem atualizar — o problema está no código de renderização de mensagens, não em uma opção que possa ser desligada. Desabilitar a pré-visualização de HTML e forçar exibição em texto puro (quando essa opção existir na instalação) reduz a superfície de ataque, mas não é uma correção suportada e não elimina o vetor caso o usuário abra a mensagem em modo HTML por qualquer motivo — trate como mitigação de risco, não como correção.

Restringir ou monitorar o acesso ao webmail (WAF na frente da aplicação, autenticação multifator na sessão web) não impede a exploração em si, já que o vetor é o conteúdo do e-mail, não uma requisição HTTP anômala — útil como controle compensatório de defesa em profundidade, não como mitigação da vulnerabilidade.

Não há uma assinatura de rede confiável, já que o payload malicioso está embutido no corpo HTML de um e-mail legítimo em formato SMTP/IMAP — não passa por padrão de tráfego HTTP anômalo até o momento em que a vítima abre a mensagem no webmail. Times de SOC podem inspecionar logs de gateway de e-mail e conteúdo de mensagens em busca de HTML com tags ou atributos incomuns que sobrevivem a sanitizadores convencionais (padrões usados por templates Nuclei públicos para esta CVE são um ponto de partida para regras de detecção em e-mails recebidos). Do lado do servidor Roundcube, não há log nativo que sinalize execução de XSS no navegador da vítima; a existência de PoC pública e template Nuclei sugere que regras de IDS/EDR baseadas nesses padrões conhecidos são o caminho mais prático de detecção retroativa.