Una mail per bucarti

Negli ultimi giorni mi sono imbattuto in diversi articoli che parlano di una vulnerabilità piuttosto seria in Roundcube Webmail, un sistema open source che usano molti provider per offrire accesso alla posta via browser. In realtà, questa falla – tracciata come CVE-2024-37383 – non è nuova: è stata scoperta e corretta già a metà 2024. Quello che però è emerso in queste ore è che l’exploit è stato recentemente condiviso o venduto in forum underground, e che diversi gruppi (anche ben organizzati) stanno sfruttando attivamente la vulnerabilità.

Il punto è che molti server non sono ancora stati aggiornati, e quindi l’attacco continua a funzionare. Di fatto, alcuni ricercatori hanno osservato una campagna attiva in cui l’attaccante invia email apparentemente innocue, spesso con un allegato .doc, ma in realtà manipolate in modo da far eseguire codice JavaScript nel contesto del browser dell’utente Roundcube. Una semplice apertura dell’email basta: non c’è bisogno che la vittima clicchi nulla.

Il funzionamento tecnico è interessante. La vulnerabilità è di tipo XSS persistente, e viene innescata tramite il tag <animate> SVG. Questo elemento, se inserito nel contenuto HTML dell’email, può eludere i filtri di sanitizzazione di Roundcube in alcune versioni vulnerabili. Una volta eseguito, il payload JavaScript può iniettare contenuti nella pagina della webmail – ad esempio, un falso modulo di login – e intercettare le credenziali dell’utente. Nei casi osservati, l’attaccante usa lo script per accedere alla mailbox, leggere o inoltrare email, e tentare l’accesso ai filtri del server (ManageSieve) per instaurare persistenza.

Ho fatto qualche ricerca per vedere se l’exploit fosse già pubblico, e la risposta è: sì, in parte. Alcuni dettagli tecnici sono stati condivisi su GitHub, altri invece venduti in forum specializzati, come exploit pack o PoC (Proof of Concept). Nulla di difficile da usare, purtroppo. Basta sapere che versione gira sul server e inviare una mail con il payload corretto. Roundcube ha rilasciato patch già da tempo (1.5.7 e 1.6.7 nel maggio 2024), ma molti sistemi sono ancora fermi a versioni precedenti. Da lì il motivo per cui adesso, a giugno 2025, si torna a parlarne: non per la novità della falla, ma perché l’exploit gira, gli attacchi pure, e molti non si sono ancora messi in pari.