Roundcube Webmail: Mail-Header-Injection über Medientyp von Inline-Bildern
Zusammenfassung
Roundcube Webmail vor 1.6.20 und 1.7.x vor 1.7.5 validiert den Medientyp von Inline-Bildern, die als Data-URI in verfassten Nachrichten eingebettet sind, nicht. Ein angemeldeter Benutzer kann in diesem Medientyp CRLF-Sequenzen platzieren und so beliebige MIME-Teilheader in die ausgehende Nachricht einschleusen. Der Angriff setzt eine gültige Mailbox-Anmeldung voraus, und die Auswirkung beschränkt sich auf die Integrität der Struktur ausgehender E-Mails.
Betroffen
- Roundcube Webmail 1.6.0 bis vor 1.6.20
- Roundcube Webmail 1.7.0 bis vor 1.7.5
- Andere Distributionen und Appliance-Builds: Unbekannt.
Behoben in
- Roundcube Webmail 1.6.20
- Roundcube Webmail 1.7.5
- Debian trixie: 1.6.20+dfsg-0+deb13u1 (sekundäre Quelle)
Umgehung
- Keine Workaround des Herstellers bekannt. Das Update ist die empfohlene Massnahme.
- Beschränken Sie, welche Benutzer Webmail-Konten besitzen, und prüfen Sie ungewöhnliche ausgehende E-Mails bis zur Behebung.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept bekannt.
- CISA SSVC: Exploitation none, Automatable no.
Unsere Empfehlung
- Aktualisieren Sie alle produktiven Roundcube-Installationen 1.6.x und 1.7.x auf 1.6.20 oder 1.7.5 (oder das gepatchte Paket des Herstellers).
- Prüfen Sie, ob Ihre Roundcube-Instanz aus dem Internet erreichbar ist und ob Ihre Distribution die Korrektur bereits ausgeliefert hat.
- Prüfen Sie ausgehende Mail-Logs auf ungewöhnliche Header, bis das Update eingespielt ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Roundcube security updates 1.6.20 and 1.7.5 roundcube.net
- Roundcube release 1.6.20 github.com
- Roundcube release 1.7.5 github.com
- Upstream fix commit 7f3cc9c github.com
- Upstream fix commit adb9b9b github.com
- Debian bug 1151279 bugs.debian.org
- Debian security tracker for roundcube security-tracker.debian.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:15.
Referenzen der NVD (6)
- https://bugs.debian.org/1151279
- https://github.com/roundcube/roundcubemail/commit/7f3cc9cacb16cb3ab047fe8e3cba81db2023cdfc
- https://github.com/roundcube/roundcubemail/commit/adb9b9b3fd43e30af1c166b79494726d89f828eb
- https://github.com/roundcube/roundcubemail/releases/tag/1.6.20
- https://github.com/roundcube/roundcubemail/releases/tag/1.7.5
- https://roundcube.net/news/2026/10/19/security-updates-1.6.20-and-1.7.5
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.