राउंडक्यूब वेबमेल: redis/memcache सत्र हैंडलर में असुरक्षित डीसीरियलाइज़ेशन

Roundcube Webmail के संस्करण 1.5.14 से पहले और 1.6.14 से पहले में CVE-2026-35537 भेद्यता Redis/Memcache सत्र हैंडलर में असुरक्षित क्रमबद्धता के कारण एक महत्वपूर्ण जोखिम पैदा करती है। एक गैर-प्रमाणित हमलावर इस भेद्यता का फायदा उठाकर सिस्टम पर मनमाना फ़ाइल लेखन संचालन कर सकता है। इससे महत्वपूर्ण फ़ाइलों में बदलाव या हटाना हो सकता है, जिससे मेल सर्वर की अखंडता का उल्लंघन हो सकता है और दुर्भावनापूर्ण कोड निष्पादित किया जा सकता है। इस भेद्यता की गंभीरता इस तथ्य में निहित है कि हमलावर इसे प्रमाणीकरण के बिना आसानी से शोषण कर सकता है, जिससे यह दुर्भावनापूर्ण अभिनेताओं के लिए एक आकर्षक लक्ष्य बन जाता है। शोषण के लिए प्रमाणीकरण की आवश्यकता न होने से जोखिम बढ़ जाता है, क्योंकि नेटवर्क एक्सेस रखने वाला कोई भी व्यक्ति इस कमजोरी का फायदा उठाने की कोशिश कर सकता है। इस जोखिम को कम करने के लिए सुरक्षा अद्यतन लागू करना महत्वपूर्ण है।

1. आरक्षित2026-04-03
2. प्रकाशित2026-04-03
3. संशोधित2026-04-14
4. EPSS अद्यतन2026-04-10

CVE-2026-35537 को संबोधित करने के लिए अनुशंसित समाधान Roundcube Webmail को संस्करण 1.5.14 या उच्चतर, या संस्करण 1.6.14 या उच्चतर में अपडेट करना है। संस्करण 1.7-rc5 में भी सुधार शामिल है। यह अद्यतन Redis/Memcache सत्र हैंडलर में असुरक्षित क्रमबद्धता को ठीक करता है, जिससे मनमाना फ़ाइल लेखन संचालन को रोका जा सकता है। अद्यतन के अलावा, Redis/Memcache सत्रों को उचित रूप से सुरक्षित और अलग करने के लिए सर्वर कॉन्फ़िगरेशन की समीक्षा करने की सिफारिश की जाती है। संदिग्ध गतिविधि के लिए सर्वर लॉग की निगरानी करने से संभावित शोषण प्रयासों का पता लगाने और उनका जवाब देने में भी मदद मिल सकती है। यदि तत्काल अद्यतन संभव नहीं है, तो अतिरिक्त सुरक्षा उपायों पर विचार करें, जैसे कि नेटवर्क एक्सेस को प्रतिबंधित करना और फ़ायरवॉल लागू करना।