Atacul Mail2Shell zero-click compromite serverele de e-mail FreeScout

O vulnerabilitate cu grad de severitate maxim în cadrul platformei helpdesk FreeScout permite atacatorilor să execute coduri de la distanță fără interacțiunea sau autentificarea utilizatorului.

Vulnerabilitatea este urmărită ca CVE-2026-28289 și ocolește o remediere pentru o altă vulnerabilitate de securitate de executare a codurilor de la distanță (RCE), CVE-2026-27636, ce ar putea fi exploatată de utilizatori autentificați cu permisiuni de upload.

Specialiștii afirmă că un atacator poate exploata noua vulnerabilitate trimițând un singur email malițios către orice adresă configurată în FreeScout.

Potrivit acestora, remedierea a încercat să blocheze încărcările de fișiere malițioase prin modificarea numelor de fișiere cu extensii restricționate sau a celor care încep cu un punct.

De asemenea, specialiștii au descoperit că un spațiu zero-width (Unicode U+200B) putea fi plasat înaintea numelui fișierului pentru a ocoli mecanismul de validare introdus recent, deoarece caracterul nu este tratat ca și conținut vizibil.

Procesarea ulterioară elimină acel caracter, permițând salvarea fișierului ca fișier dotfile și, prin urmare, declanșând în continuare exploatarea CVE-2026-27636 prin ocolirea completă a celor mai recente verificări de securitate.

Pentru a complica și mai mult situatia, CVE-2026-28289 poate fi declanșat de un fișier atașat de e-mail rău intenționat furnizat în mailbox configurat în FreeScout.

Programul stochează fișierul atașat în /storage/attachment/…, permițând atacatorului să acceseze payload-ul încărcat prin interfața web și să execute comenzi pe server fără autentificare sau interacțiune cu utilizatorul, ceea ce îl face o vulnerabilitate zero-click.

FreeScout este o platformă open-source de asistență tehnică și mailbox utilizată de organizații pentru a gestiona e-mailurile și tichetele de asistență pentru utilizatori. Este o alternativă auto-găzduită la Zendesk sau Help Scout.

CVE‑2026‑28289 afectează toate versiunile FreeScout până la 1.8.206 inclusiv și a fost remediat în versiunea 1.8.207, lansată recent.

Specialiștii FreeScout au avertizat că exploatarea cu succes a CVE-2026-28289 poate duce la compromiterea completă a serverului, încălcarea securității datelor, lateral movement în rețelele interne și întreruperea serviciilor. Prin urmare, se recomandă aplicarea imediată a patch-urilor.

De asemenea, se recomandă dezactivarea opțiunii AllowOverrideAll din configurația Apache pe serverul FreeScout, chiar și în cazul versiunii 1.8.207.

Sursă: https://www.bleepingcomputer.com/news/security/mail2shell-zero-click-attack-lets-hackers-hijack-freescout-mail-servers/