Roundcube Webmail: Object Injection in der Session-Verarbeitung
Zusammenfassung
Roundcube Webmail vor 1.6.20 und 1.7.x vor 1.7.5 verarbeitet Session-Schlüssel mit dem Präfix "!" in rcube_session::unserialize() fehlerhaft. Dadurch werden die geparsten Session-Daten nicht mehr korrekt synchronisiert, sodass ein Angreifer, der gespeicherte Session-Daten beeinflussen kann, PHP-Objekte injizieren kann. Der NVD-Eintrag gibt CVSS 8.1 an (Netzwerk, hohe Komplexität, keine Rechte, keine Benutzerinteraktion), einige Drittanbieter-Quellen stufen die Schwere jedoch niedriger mit lokalem Angriffsvektor ein.
Betroffen
- Roundcube Webmail 1.6.0 bis vor 1.6.20
- Roundcube Webmail 1.7.0 bis vor 1.7.5
- Ältere Zweige: Unbekannt.
Behoben in
- Roundcube Webmail 1.6.20
- Roundcube Webmail 1.7.5
- Distributionspakete: Die Herstellerhinweise oder Distributionsmeldungen zur korrigierten Version prüfen.
Umgehung
Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme. Das Aktualisieren ist die Korrektur.
Ausnutzung
- Kein öffentlicher Exploit gefunden. VulDB gibt an, dass kein Exploit verfügbar ist.
- CISA SSVC: Exploitation none, Automatable no.
- Kein Nachweis einer Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Auf Roundcube 1.6.20 oder 1.7.5 aktualisieren oder das korrigierte Paket der Distribution installieren.
- Die installierte Version auf der Seite About bestätigen.
- Bis zur Korrektur den Zugriff auf die Webmail-Anmeldung einschränken, zum Beispiel mit VPN oder IP-Beschränkungen.
- Dieselbe Version einspielen, die auch IMAP-Command-Injection und Mail-Header-Injection behebt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Roundcube security updates 1.6.20 and 1.7.5 roundcube.net
- Roundcube 1.6.20 release github.com
- Roundcube 1.7.5 release github.com
- Upstream commit 833770d github.com
- Upstream commit 93284f3 github.com
- VulDB CVE-2026-114724 vuldb.com
- Debian security tracker: roundcube security-tracker.debian.org
- Ubuntu CVE-2026-114724 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:07.
Referenzen der NVD (6)
- https://bugs.debian.org/1151279
- https://github.com/roundcube/roundcubemail/commit/833770d3d3c35cfde74cc2614d368f25a75b6f99
- https://github.com/roundcube/roundcubemail/commit/93284f3f0e13f99af37fc3b81861e142eea8a922
- https://github.com/roundcube/roundcubemail/releases/tag/1.6.20
- https://github.com/roundcube/roundcubemail/releases/tag/1.7.5
- https://roundcube.net/news/2026/10/19/security-updates-1.6.20-and-1.7.5
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.