Ernstig lek in Horde Webmail maakte diefstal inboxes mogelijk
Een ernstig beveiligingslek in de opensourcewebmailsoftware Horde maakte het mogelijk om de inboxes van gebruikers te stelen. Om de aanval uit te voeren moest het slachtoffer wel eerst op een link van de aanvaller klikken. Vervolgens werd de inbox naar de server van de aanvaller gedownload.
Tal van organisaties maken gebruik van Horde Webmail voor het aanbieden van webmail aan hun gebruikers. In mei van dit jaar meldde onderzoeker Numan Ozdemir verschillende kwetsbaarheden in de software aan de ontwikkelaars van Horde. Op een schaal van 1 tot en met 10 wat betreft de impact was één van de kwetsbaarheden met een 8,8 beoordeeld.
Ozdemir hoorde naar eigen zeggen niets meer van de ontwikkelaars. Via de kwetsbaarheden is het echter "heel eenvoudig" om de e-mail van gebruikers te stelen, zo laat de onderzoeker aan TechCrunch weten. Hoewel de bugmelding van Ozdemir nog openstaat, zijn de kwetsbaarheden inmiddels verholpen, aldus de ontwikkelaars. Beheerders krijgen dan ook het advies om de nieuwste versie te installeren.
De laatste melding op de [announce] mailinglist is van mei dit jaar.
Ik gok dat er nog helemaal niks gefixed is.
Melding dat API token ongeldig is nadat de link door gesimuleerd slachtoffer wordt geklikt.
Wordt doorverwezen naar nieuw tab waar je los van moet inloggen en uitkomt op 404 en er geen interactie heeft plaatsgevonden met noodzakelijke betanden, urls voor de exploit.
Enig iemand zelfde ervaring?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
