Roundcube Webmail: Unsichere Bildverarbeitung über ImageMagick beim Kontaktfoto-Upload
Zusammenfassung
Roundcube Webmail akzeptierte SVG- und EPS-Dateien als Kontaktfotos und übergab sie beim Skalieren unsicher an ImageMagick. Da diese Formate externe Ressourcen referenzieren und ImageMagick-Delegates aufrufen können, könnte ein authentifizierter Benutzer Daten auf dem Server lesen oder manipulieren. Betroffen sind Roundcube 1.6.0 bis vor 1.6.20 sowie 1.7.0 bis vor 1.7.5; ein gültiger Webmail-Login ist erforderlich, jedoch keine Benutzerinteraktion.
Betroffen
- Roundcube Webmail 1.6.0 bis vor 1.6.20
- Roundcube Webmail 1.7.0 bis vor 1.7.5
- Nur Installationen, bei denen ImageMagick Kontaktfoto-Uploads verarbeitet, sind betroffen
- Ältere Versionszweige: Unbekannt.
Behoben in
- Roundcube Webmail 1.6.20
- Roundcube Webmail 1.7.5
Umgehung
- Keine vom Hersteller dokumentierte Workaround bekannt.
- Falls das Update verzögert wird, die Kontaktfoto-Upload-Funktion deaktivieren oder einschränken (nicht vom Hersteller validiert).
- Die SVG-, EPS- und MSL-Coder von ImageMagick über die Policy-Datei einschränken (nicht vom Hersteller validiert).
Ausnutzung
- Kein öffentlicher Proof-of-Concept gefunden.
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- EPSS: 0.00331 (Vulners).
Unsere Empfehlung
- Roundcube umgehend auf 1.6.20 oder 1.7.5 aktualisieren; den Paketstatus der eigenen Distribution prüfen, da Pakete verzögert sein können.
- Prüfen, ob die Roundcube-Instanz aus dem Internet erreichbar ist und ob ImageMagick Kontaktfotos verarbeitet.
- Webmail-Protokolle bis zum Patch auf ungewöhnliche Kontaktfoto-Uploads überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Roundcube security updates 1.6.20 and 1.7.5 roundcube.net
- Roundcube release 1.6.20 github.com
- Roundcube release 1.7.5 github.com
- Fix commit 895d88a github.com
- Fix commit 8f0dc2d github.com
- Debian tracker for roundcube security-tracker.debian.org
- Ubuntu CVE-2026-114727 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:23.
Referenzen der NVD (6)
- https://bugs.debian.org/1151279
- https://github.com/roundcube/roundcubemail/commit/895d88af37720d2b46e4553f524013b2e1cb7665
- https://github.com/roundcube/roundcubemail/commit/8f0dc2d4675b5ec72e9746862956785f2e099fc7
- https://github.com/roundcube/roundcubemail/releases/tag/1.6.20
- https://github.com/roundcube/roundcubemail/releases/tag/1.7.5
- https://roundcube.net/news/2026/10/19/security-updates-1.6.20-and-1.7.5
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.