Richard Olszynský

يوجد قصور في تقييد محاولات المصادقة المفرطة مما يسمح للمهاجمين غير المصرح لهم بإعادة تعيين كلمات مرور الحسابات. من خلال التخمين المتكرر لإجابات الأسئلة السرية عبر نقطة النهاية 'passwordRecoveryCheck'، والتي تفتقر إلى خاصية القفل أو تحديد معدل الطلبات، يمكن للمهاجمين الحصول على رمز JWT (JSON Web Token) صالح للاسترداد. يمكن بعد ذلك استخدام هذا الرمز لتغيير كلمة مرور الحساب دون الحاجة إلى بيانات الاعتماد القديمة وتسجيل الدخول عبر نقطة النهاية 'connect'، مما يؤدي إلى الاستيلاء الكامل على الحسابات التي لا تفعل خاصية TOTP (كلمة المرور لمرة واحدة المستندة إلى الوقت).

SOGo before 5.12.13 contains an improper cryptographic signature verification vulnerability that allows remote attackers to replace a victim's contact S/MIME certificate by sending a spoofed multipart/signed message with a mismatched signature and an impersonated From address. Attackers can deliver a crafted CMS signedData object containing their own self-signed certificate, which SOGo's UIxMailView stores on the contact card without validating signature authenticity or certificate identity, enabling subsequent encrypted communications to be decrypted with the attacker's private key.

يؤدي فقدان تحديد معدل الطلبات في التحقق من رمز TOTP (كلمة المرور لمرة واحدة المستندة إلى الوقت) عند تسجيل الدخول عبر الويب إلى السماح للمهاجمين الذين يمتلكون كلمة مرور الضحية بتنفيذ هجوم القوة الغاشمة على رمز العامل الثاني. نظرًا لأن محاولات TOTP الفاشلة لا تزيد من عداد تسجيل الدخول الفاشل ولا يتم تطبيق إعداد `SOGoMaximumFailedLoginCount` ، يمكن للمهاجمين إرسال طلبات POST متكررة إلى نقطة النهاية '/SOGo/connect' برموز خاطئة وبسرعة عالية لتجاوز المصادقة الثنائية.

SOGo before 5.12.13 contains a Sieve script injection vulnerability that allows authenticated users to inject arbitrary Sieve directives by inserting unescaped notification address values into a generated Sieve script. Attackers can embed Sieve redirect or discard statements within the notificationAddress preference to bypass the administrator-configured forwarding-domain constraint and redirect or discard incoming mail.

SOGo before 5.12.13 contains a denial of service vulnerability that allows authenticated attackers to exhaust all worker processes by configuring an auxiliary IMAP mail account pointing to a controlled host that accepts a TCP connection but never sends an IMAP greeting response. Attackers can issue concurrent GET requests to the mail view of this account to hold workers indefinitely without an effective timeout, occupying every SOGo worker and denying service to all users for approximately five minutes until the watchdog kills and respawns the stuck workers.

SOGo before 5.12.13 contains a server-side request forgery vulnerability that allows authenticated users to make the server connect to arbitrary internal host:port destinations by supplying a user-controlled URL to the Calendar/addWebCalendar endpoint. Attackers can trigger a reload of the subscribed web calendar via the reload endpoint and distinguish response outcomes such as connection failures, timeouts, authentication prompts, or invalid content to probe the internal network from the server's position.