Investigadores de ciberseguridad han revelado una falla de seguridad crítica en el software de correo web Roundcube, que ha permanecido sin ser detectada durante más de una década. La vulnerabilidad, identificada como CVE-2025-49113, permite la ejecución remota de código por parte de usuarios autenticados.
Detalles técnicos de la vulnerabilidad
La falla se debe a que el parámetro _from de una URL no está validado en el archivo program/actions/settings/upload.php, lo que provoca la deserialización de objetos PHP. Esta vulnerabilidad afecta a todas las versiones del software anteriores a la 1.6.10 inclusive.
La solución ha sido publicada en las versiones 1.6.11 y 1.5.10 LTS, según informó el sitio web de Roundcube. El descubrimiento fue realizado por Kirill Firsov, fundador y director ejecutivo de FearsOff, quien también compartió detalles técnicos adicionales y una prueba de concepto en un video publicado en YouTube.
Impacto potencial
Los atacantes han aprovechado la vulnerabilidad para desarrollar un exploit funcional y venderlo en al menos un foro. Esta vulnerabilidad ha sido objeto de interés para actores de amenazas estatales como APT28 y Winter Vivern.
En el año 2024, Positive Technologies reveló que atacantes intentaron explotar una falla previa en Roundcube (CVE-2024-37383) como parte de un ataque de phishing para robar credenciales de usuarios.
Recientemente, ESET detectó que APT28 había aprovechado vulnerabilidades de secuencias de comandos entre sitios (XSS) en servidores de correo web como Roundcube, Horde, MDaemon y Zimbra para recopilar datos confidenciales de cuentas de correo electrónico pertenecientes a entidades gubernamentales y empresas de defensa en Europa del Este.
Recomendaciones
Positive Technologies instó a los usuarios a actualizar el software lo antes posible, ya que la vulnerabilidad permite a los usuarios autenticados ejecutar comandos arbitrarios a través de la deserialización de objetos PHP.