Mailcow устраняет критические уязвимости XSS и перезаписи файлов
Citizen
Citizen Sec,
Исследователи из SonarCloud обнаружили критические уязвимости в Mailcow, популярном решении для почтовых серверов с открытым исходным кодом. Эти уязвимости могли позволить злоумышленникам выполнять вредоносный код на уязвимых системах "с помощью одного письма, просмотренного администратором".
Уязвимости:
-
XSS (Cross-Site Scripting) через обработчик исключений (CVE-2024-31204): В Mailcow была обнаружена уязвимость, связанная с обработчиком исключений. Злоумышленники могли вставить вредоносные скрипты в админ-панель, что могло привести к перехвату сессии и несанкционированным действиям администратора.
-
Обход пути и произвольная перезапись файлов (CVE-2024-30270): Злоумышленники могли перезаписывать шаблоны, используя вредоносный код, и внедрять PHP веб-оболочку для проникновения в систему. Это позволяло выполнять команды операционной системы через специально сформированные письма.
Эти уязвимости могли быть использованы вместе для полного контроля над аккаунтами пользователей Mailcow, получения доступа ко всем внутренним данным и имитации пользователя через почту.
Как защититься:
- Обновите Mailcow: Установите последнее обновление Moopril Update 2024, чтобы устранить уязвимости.
- Включите функции безопасности: Настройте фильтрацию содержимого и используйте сложные пароли.
- Регулярные обновления: Поддерживайте Mailcow в актуальном состоянии для получения последних патчей безопасности.
- Будьте осторожны с незнакомыми письмами: Не открывайте письма от неизвестных отправителей и не переходите по подозрительным ссылкам.
Эти меры помогут защитить ваш почтовый сервер от возможных атак.
Вам также будет интересно
CitizenSec участвует на Comic Con 2026
На нашем стенде можно не просто фотографироваться с супергероями, а самому стать одним из них.
@CitizenSec
04-08-2026Как защитить детей в цифровом мире: почему безопасность в интернете — это важно
Современные дети растут в эпоху цифровых технологий — смартфоны, планшеты, социальные сети и онлайн-игры стали неотъемлемой частью их жизни. Интернет открывает массу возможностей для учёбы, творчества и общения, но вместе с этим приносит и серьёзные риски.
@citizensec
30-05-2025Регламент по использованию корпоративной электронной почты
Правила использования корпоративной почты: что разрешено, что запрещено, меры безопасности и ответственность.
@CitizenSec
19-05-2025Женщины в кибербезопасности из Казахстана
Специальный выпуск посвящён женщинам в кибербезопасности, которые преодолевают вызовы, вдохновляют других и делают мир безопаснее. Мы рассказываем истории трёх профессионалок, их пути в ИБ, советы по карьере и безопасности в интернете. Узнайте, как начать свой путь в кибербезопасности и развиваться в этой динамичной сфере.
@citizensec
03-05-2025Внимание на обыденные IT-инструменты: новая тактика китайской шпионской группы
Компания Microsoft предупреждает: китайская группа шпионов использует повседневные IT-инструменты для взлома сетей.
@turin.medet
06-03-2025Обнаружены опасные программы Zebo-0.1.0 и Cometlogger-0.1, которые крадут данные и управляют компьютером
Специалисты выявили два вредоносных файла, которые маскируются под полезные программы. Эти файлы могут воровать личные данные, следить за действиями на компьютере и даже брать управление системой под свой контроль.
@CitizenSec
26-12-2024Утечка в Postman: более 30 000 ключей API и токенов стали доступными публично
Тысячи рабочих пространств Postman случайно раскрыли важные данные, такие как ключи API и токены доступа. Узнайте, как правильно защитить вашу среду разработки API и обезопасить данные вашей организации.
@CitizenSec
21-11-2024Новый троян SteelFox имитирует программные активаторы, воруя конфиденциальные данные и добывая криптовалюту
SteelFox был впервые выявлен в августе 2023 года, но его активность заметно возросла. За последние месяцы было зафиксировано более 11 000 попыток заражения.
@CitizenSec
11-11-2024Критическая уязвимость CVE-2024-43093 угрожает безопасности пользователей Android
Эта проблема позволяет хакерам получить несанкционированный доступ к важным системным папкам Android.
@CitizenSec
05-11-2024ChatGPT убедили создать эксплойт, подсунув инструкцию в 16-ричном формате
Исследователь из Mozilla предложил новый способ обхода контент-фильтров в больших языковых моделях (LLM), применяемых для предотвращения злоупотреблений.
@CitizenSec
01-11-2024