Trzy podatności we wtyczce 2FA do Roundcube pozwalają ominąć drugi składnik, jeśli atakujący zna hasło
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Incydenty
- Redakcja
- Paweł Rosół
- Źródło
- CERT Polska ()
CERT Polska opisał trzy podatności we wtyczce twofactor_gauthenticator dla Roundcube, które umożliwiają ominięcie drugiego składnika uwierzytelniania atakującemu znającemu hasło. Poprawka jest w commicie 4640889.
CERT PolskaCERT Polska Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK. opublikował 27 października 2026 r. informację o trzech podatnościachPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. (od CVE-2026-107145 do CVE-2026-107147) we wtyczce twofactor_gauthenticator dla Roundcube, której producentem jest alexandregz. Podatne są wszystkie wersje przed commitem 4640889. Podatności zgłosił CERT Polska Marek Figielski z zespołu Vanilla.pl, a CERT Polska uczestniczył w koordynacji ich ujawnienia.
Pierwsza podatność (CVE-2026-107145) to brak ograniczenia liczby prób: atakujący może wielokrotnie przesyłać dowolne sześciocyfrowe kody, co może prowadzić do ominięcia drugiego składnika. Druga (CVE-2026-107146) polega na tym, że wtyczka utrzymuje sesję po nieudanej weryfikacji 2FA. Serwer nie kończy sesji, więc atakujący może zignorować przekierowanie wylogowujące i dalej zgadywać kod. Trzecia (CVE-2026-107147) wynika z braku walidacji nagłówków Client-IP i X-Forwarded-For: atakujący może podszyć się pod adres IP z białej listy i w ten sposób ominąć drugi składnik.
We wszystkich trzech przypadkach CERT Polska zastrzega, że atakujący musi wcześniej pozyskać hasło użytkownika. Strix ocenia CVE-2026-107146 jako podatność o średniej wadze, 6,3 w skali CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.. Jeśli Twoja organizacja korzysta z Roundcube, sprawdź, czy ta wtyczka jest zainstalowana i czy zawiera commit 4640889. OffSeq Threat Radar zaleca aktualizację wtyczki do 4640889.
Źródła
- CERT Polska: Podatności we wtyczce twofactor_gauthenticator dla Roundcube
- OffSeq Threat Radar: CVE-2026-107147: twofactor_gauthenticator · Authentication Bypass… | Threat Radar
- Strix: CVE-2026-107146: twofactor_gauthenticator Session Expiration Flaw
Pojęcia w tym tekście (3)
- CERT Polska
- Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- CVSS
- Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.