Un investigador reveló una vulnerabilidad oculta en el sistema de correo web Roundcube. La vulnerabilidad fue identificada como CVE-2025-49113 y tiene un puntaje CVSS de 9.9.
Vulnerabilidad y riesgos
El fallo permite a cualquier usuario autenticado tomar control total del servidor y ejecutar código arbitrario. La solución fue lanzada el 1 de junio mediante las versiones 1.6.11 y 1.5.10 LTS.
Miles de instalaciones siguen expuestas hasta que no se apliquen estas actualizaciones. El problema se encuentra en el archivo program/actions/settings/upload.php.
Detalles técnicos
Durante el proceso de subida de ficheros de configuración, Roundcube acepta un parámetro oculto denominado _from. El parámetro _from no se valida y se pasa directamente a la función unserialize() de PHP.
Esta acción permite al atacante crear un objeto con un método "mágico" como __wakeup o __destruct, que se ejecutará al deserializarse. La ejecución remota de comandos en el sistema operativo es posible mediante este método.
Vulnerabilidad histórica
El código vulnerable existe desde al menos 2015, por lo que instalaciones legacy de Roundcube 1.0–1.6.10 son vulnerables. Se recomienda revisar los logs en busca de llamadas sospechosas a upload.php.
Mitigaciones
- Actualizar ya a 1.6.11 o 1.5.10 LTS.
- Restringir el acceso administrativo.
- Revisar los logs en busca de llamadas sospechosas a upload.php.