Opis podatności

CERT Polska otrzymał zgłoszenie dotyczące podatności we wtyczce twofactor_gauthenticator dla Roundcube i uczestniczył w koordynacji ich ujawnienia.

Podatność CVE-2026-107145: Wtyczka twofactor_gauthenticator dla Roundcube jest podatna na atak typu brute-force na drugi składnik uwierzytelnienia. Ze względu na brak ograniczenia liczby prób, atakujący, który pozyska hasło użytkownika, może przesyłać dowolne 6-cyfrowe kody wiele razy, co może prowadzić do ominięcia drugiego składnika i uzyskania nieuprawnionego dostępu do systemu.

Podatność CVE-2026-107146: Wtyczka twofactor_gauthenticator dla Roundcube utrzymuje sesję po nieudanej weryfikacji 2FA. Ze względu na brak zakończenia sesji po stronie serwera, atakujący może zignorować przekierowanie wylogowujące i utrzymać aktywną sesję. Umożliwia to atakującemu, który pozyska hasło użytkownika, przeprowadzenie np. ataku typu brute-force na drugi składnik uwierzytelnienia.

Podatność CVE-2026-107147: Wtyczka twofactor_gauthenticator dla Roundcube umożliwia ominięcie uwierzytelnienia 2FA poprzez sfałszowanie nagłówków adresu klienta. Ze względu na brak walidacji nagłówków Client-IP i X-Forwarded-For, atakujący, który pozyska hasło użytkownika, może podszyć się pod adres IP z whitelist'y, co skutkuje ominięciem drugiego składnika uwierzytelniania.

Te problemy zostały naprawione w commicie 4640889.

Podziękowania

Za zgłoszenie podatności dziękujemy Markowi Figielskiemu z zespołu Vanilla.pl.