„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-74997 betrifft das markasjunk Plugin in Roundcube Webmail. Ãœber manipulierte Platzhalter-Ersetzungswerte können Angreifer Remote Code Execution (RCE) auf betroffenen Systemen erreichen. Das Schweregrad wird mit „High“ (CVSS 8.8) bewertet.
Betroffene Systeme
- Roundcube Webmail vor Version 1.6.18
- Roundcube Webmail 1.7.x vor Version 1.7.3
- Nur bei aktivem markasjunk Plugin mit cmd_learn Driver
Die Anfälligkeit existiert ausschließlich bei Roundcube-Installationen, die das markasjunk Plugin mit dessen cmd_learn-Treiber verwenden.
Technische Details
Der cmd_learn Driver des markasjunk Plugins verarbeitet Platzhalter-Ersetzungswerte unzureichend validiert. Durch handwerklich erstellte Eingabewerte können Angreifer beliebigen Code auf dem Server ausführen. Die Schwachstelle wird über das Netzwerk exploitiert und erfordert keine Authentifizierung.
Der Angriffsvektor basiert auf der unsicheren Behandlung von Variablenersetzungen bei der Ausführung von cmd_learn Operationen. Attacken sind remote möglich und keine speziellen Berechtigungen erforderlich.
Empfohlene Massnahmen
- Sofort: Deaktivieren Sie das markasjunk Plugin bis zur Aktualisierung
- Kursfristig: Aktualisieren Sie Roundcube auf Version 1.6.18 oder 1.7.3+
- Implementieren Sie Netzwerksegmentierung zur Limitation der Angriffsfläche
- Überwachen Sie Webserver-Logs auf verdächtige Aktivitäten
- Führen Sie regelmäßige Sicherheitsaudits durch
Bewertung
CVSS Score: 8.8 (High)
Die hohe Bewertung resultiert aus der Kombination von Remote Code Execution, fehlender Authentifizierungsanforderung und breiter Netzwerkerreichbarkeit. Eine zeitnahe Behebung ist erforderlich.
„`