CVE-2025-49113 漏洞分析与利用方式

发布于2025年6月10日2025年7月25日作者:cve-20

CVE-2025-49113 漏洞分析与利用方式

原创 4uuu Nya 奇安信天工实验室 2025-06-10 07:06

目

录

一、前言

二、版本diff

三、复现环境

四、漏洞分析

五、总结

一

前言

2025年6月2日公开了一个RoundCube邮件系统中的一个RCE漏洞，信息如下：

影响版
本<1.5.10 <1.6.11
，
虽
然
是一个认证后才可以触发的漏洞，但是评分却达到了9.9，接下来根据公开的漏洞信息对该漏洞进行分析与复现。

二

版本diff

在本地下载1.6.10版本代码，diff 1.6.11版本发现主要是对
type
字段进行了过滤，
type
字段来源于
_form
和漏洞信息也能对应上：

三

复现环境

由于RC官方提供了各个版本的docker镜像，所以只需要再简单配置一个dovecot和mysql用于正常登录即可，配置环境如下。

docker-compose.yml

dovecot.conf

users

四

漏洞分析

漏洞入口

根据漏洞公开信息可以知道漏洞入口点位于
program/actions/settings/upload.php
，整体流程比较简单：

在函数开始会对
_from
参数进行一些处理之后才赋值给
type
，这些处理并不会对参数进行任何安全的过滤，继续向下可以看到处理了一下上传文件，在文件被成功上传后会调用一次
$this->session_append
，并且这里带入了可控参数，后续没有了对这个字段的处理，所以可以推断出漏洞应该就出现在对session的反序列化上。

跟入
append
函数，这是抽象类
rcube_session
中的函数：

这里的
$this->get_node
函数第一个参数将传入的
$path
使用
.
进行了分割，也就是说会把传入的
$type.files
分割成
$type
和
files
，跟入这个函数：

这里的第二个参数传入的是
$_SESSION
，也就是说如果当前session中不存在
$type.files
的键就会进行创建出来
$_SESSION[$type][‘files’]
这类的键（由于获取
$type
参数的时候将
.
转换成了
–
，导致无法无限制的向下创建任意键），之后再次向
$type.files
后添加了一层嵌套，key为上传文件处理后的
attachment_id
，内容为处理后的上传信息，大概内容信息如下：

此时因为

$type
的原因，我们拥有了一次控制顶层key的能力，但此时还无法控制这个key的内容。

session处理

rcube_session
是roundcube自定义的一个对于session处理相关的类，在这里面hook了原生的几个方法：

主要看到其中的
sess_write
：

由于漏洞是认证后，所以一定存在旧数据，那么继续跟入到存在缓存的情况，跟入
_fixvars
：

这里在对旧数据进行处理后，合并了已存储的session数据与当前的session数据，此时调用了一个自定义的
unserialize
对当前的session进行了一次反序列化处理，跟入到这个函数的定义：

这里注意到对两个符号有特殊处理，一个是
|
一个是
!
，首先
|
的作用主要是用于分隔开key和value，当前session序列化后的值为
key|value;key|value
形式的键值对，而
!
则是将被这个符号标记的key值直接处理成
s:len:”key”;N;
，但是这里存在一个问题，如果这个key本身就是一个数组或者对象，在对其添加
N;
之后仍然还有这个对象本身序列化后的值，而这些值将会被当做一个新的key直到遇到下一个
|
，从而造成逃逸的效果，以一个RC系统中部分session内容为例，其存储的序列化字符串如下：