הודעת דואר שנראית רגילה יכולה להכיל תגית תמונה, ובתוך התגית הזאת סקריפט. לפי הרשומה, שרת הדואר MDaemon בגרסאות שלפני 24.5.1c מציג הודעה כזאת בממשק הווב בלי לנקות אותה, והסקריפט של השולח רץ בחלון הדפדפן של הנמען. הציון הוא 5.3 בסולם CVSS 4.0, ולמרות זאת CISA רשמה אותה כמנוצלת בשטח במאי 2025.

מה החולשה?

ממשק ווב של דואר מציג הודעה כעמוד אינטרנט. זה מה שמאפשר לכם לראות הודעה מעוצבת עם כותרות, טבלאות ותמונות במקום טקסט אפור, וזה גם מה שיוצר את הבעיה: התוכן שמגיע מבחוץ הופך לחלק מהעמוד שהדפדפן שלכם מרכיב.

לתגית שמטמיעה תמונה יש מאפיינים, וחלק מהמאפיינים האלה אינם מתארים את התמונה אלא מחזיקים קוד שהדפדפן מריץ כשקורה לה משהו. אם השרת אינו מסיר אותם לפני ההצגה, השולח הוא שקובע מה ירוץ. לתבנית הזאת קוראים XSS.

הרשומה מנסחת את התוצאה בזהירות: הרצה של JavaScript שרירותי בהקשר של חלון הדפדפן של משתמש ממשק הווב. במילים פשוטות, הקוד רץ כמי שמחובר, ולכן הוא יכול לעשות בחלון הזה את מה שהמשתמש יכול לעשות בו.

פרט אחד בווקטור שווה שימת לב: מעורבות המשתמש מסומנת כפסיבית. לא נדרשת לחיצה על קישור, מספיק שההודעה מוצגת.

מי מושפע?

הרשומה מסמנת את MDaemon Email Server בכל גרסה שלפני 24.5.1, והגרסה שהיא נוקבת בה כמתקנת היא 24.5.1c.

MDaemon הוא שרת דואר לארגונים קטנים ובינוניים, מהסוג שנבחר כשרוצים דואר על שרת משלכם במקום על חבילת ענן. בישראל הוא יושב בעסקים ובמשרדים שהחזיקו תשתית דואר עצמאית ולא עברו לענן. המושפעים בפועל הם המשתמשים שנכנסים לדואר דרך ממשק הווב, כי שם ההודעה מוצגת כעמוד.

האם מנוצלת בפועל?

כן, וכדאי לשים לב לפער בתאריכים. הרשומה פורסמה ב-NVD ב-15 בנובמבר 2024, והחולשה נוספה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, רק ב-19 במאי 2025. המועד לתיקון בגופים הפדרליים האמריקאיים נקבע ל-9 ביוני 2025.

כחצי שנה עברה בין פרסום החולשה לבין הידיעה שמשתמשים בה. תיקון היה זמין כל אותו הזמן.

ועוד נקודה על המספר. 5.3 אינו ציון גבוה, ובכל זאת החולשה נכנסה לקטלוג. זה בדיוק המקרה שמראה שציון בינוני על שרת דואר עדיין שווה לתוקף, כי תיבת הדואר היא הדלת שדרכה מאפסים סיסמאות לכל שאר השירותים.

מה עושים?

1. עדכנו ל-24.5.1c. הערות השחרור של MDaemon הן ההפניה שהרשומה מצרפת, וגרסת השרת מופיעה בקונסולת הניהול.

2. עד שהעדכון מותקן אפשר לצמצם את החשיפה: שהמשתמשים יקראו דואר בתוכנת דואר במחשב במקום בממשק הווב. הרשומה תולה את ההרצה בחלון הדפדפן של ממשק הווב, אז מי שאינו שם אינו בתנאי.

3. אחרי העדכון עברו על הגדרות החשבונות בממשק הווב וחפשו שינויים שאיש לא ביקש. סקריפט שרץ בתוך הסשן פועל בשם המשתמש, ולכן שינוי שנעשה דרכו נראה לגמרי לגיטימי בתיעוד.

4. הסבירו למשתמשים שכאן אין על מה ללחוץ. ההנחיה המוכרת להיזהר מקישורים חשודים אינה עוזרת בחולשה שמופעלת מעצם הצגת ההודעה.