Roundcube opublikował wersje 1.6.18 oraz 1.7.3 z kolejnym dużym pakietem poprawek bezpieczeństwa. Lista obejmuje m.in. możliwość zdalnego wykonania kodu w określonej konfiguracji dodatku markasjunk, IMAP command injection, stored XSS, obejścia filtrów SSRF, wstrzyknięcie skryptu Sieve i problemy związane z LDAP. Projekt zdecydowanie zaleca aktualizację wszystkich produkcyjnych instalacji z gałęzi 1.6.x i 1.7.x.
Co naprawiono w Roundcube 1.6.18 i 1.7.3?
W komunikacie bezpieczeństwa Roundcube wymieniono kilkanaście poprawek. Wśród najpoważniejszych znajduje się RCE związane ze sterownikiem cmd_learn dodatku markasjunk oraz IMAP command injection wynikające z desynchronizacji liczby bajtów LITERAL+ podczas wyszukiwania wiadomości.
Naprawiono również stored XSS w funkcji „Add to address book”, obejście filtrowania HTML/CSS przy użyciu SVG, LDAP filter injection, arbitrary Sieve script injection oraz kilka nowych sposobów obchodzenia ochrony SSRF.
Kogo dotyczy aktualizacja Roundcube?
Jeżeli Roundcube jest dostarczany przez firmę hostingową, aktualizacja zwykle leży po stronie administratora usługi. W przypadku własnej instalacji warto sprawdzić używaną gałąź i przejść co najmniej do 1.6.18 albo 1.7.3. Producent nie pozostawia tu dużego pola do interpretacji – zaleca aktualizację wszystkich środowisk produkcyjnych.
Czy użytkownik musi coś zmieniać w skrzynce?
Nie. To problemy aplikacji webmail, więc ich rozwiązaniem jest aktualizacja po stronie serwera. Zmiana hasła czy ustawień poczty nie zastąpi poprawki bezpieczeństwa, jeśli sama instalacja Roundcube pozostaje podatna.
Źródło: Roundcube – Security updates 1.6.18 and 1.7.3 released