SmarterMail: tre vulnerabilità risolte, aggiornare alla build 9777 o successive

• Tre nuove vulnerabilità in SmarterMail di SmarterTools, due di gravità alta
• Un attaccante remoto autenticato può elevare i privilegi ed eseguire codice arbitrario
• Colpite le versioni precedenti alla build 9777
• Aggiornare all’ultima release disponibile

L’Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato un avviso su tre nuove vulnerabilità di SmarterMail, la piattaforma di collaborazione web sviluppata da SmarterTools. Due delle falle hanno gravità «alta». Il vendor ha già rilasciato una versione corretta.

Cosa possono fare gli attaccanti

Se sfruttate, le vulnerabilità consentirebbero a un attaccante remoto autenticato di due cose:

• elevare i propri privilegi sul sistema;
• eseguire codice arbitrario sui sistemi interessati.

L’attaccante deve quindi disporre già di credenziali valide. Questo non elimina il rischio. Account compromessi tramite phishing o riuso di password possono bastare a trasformare un accesso ordinario in un controllo più ampio del server di posta e collaborazione.

Prodotti interessati

Sono colpite le versioni di SmarterMail precedenti alla build 9777.

La nota dell’ACN indica che i codici CVE sono riportati solo per le due vulnerabilità di gravità alta. Nel testo disponibile non compaiono i singoli identificativi né i punteggi CVSS, e non ci sono segnalazioni di sfruttamento in corso.

Cosa fare

L’ACN raccomanda di aggiornare tempestivamente le versioni vulnerabili all’ultima release disponibile, se non è già stato fatto. Gli amministratori dovrebbero:

• verificare il numero di build installato;
• pianificare l’aggiornamento alla build 9777 o successiva;
• consultare gli avvisi ufficiali di SmarterTools e le schede CVE per i dettagli tecnici.

Fonte: ACN