Roundcube opublikował wersje 1.6.19 i 1.7.4 zawierające kolejny pakiet poprawek bezpieczeństwa. Aktualizacja usuwa m.in. zero-click stored XSS, kilka sposobów wstrzykiwania dodatkowych nagłówków e-mail, kolejne obejścia ochrony SSRF oraz mechanizmy pozwalające ominąć blokowanie zdalnych treści. Projekt rekomenduje aktualizację wszystkich produkcyjnych instalacji z gałęzi 1.6.x i 1.7.x.
Co naprawiono w Roundcube 1.6.19 i 1.7.4?
Jak wynika z komunikatu bezpieczeństwa Roundcube, poprawki dotyczą zarówno renderowania wiadomości i załączników, jak i sposobu obsługi nagłówków. Jeden z błędów pozwalał na zero-click stored XSS przez odpowiednio przygotowany znacznik MIME TNEF w adresie załącznika.
Naprawiono też trzy przypadki email header injection: przez znak CR w temacie wiadomości, sekwencję \r w nazwie odbiorcy oraz pole organizacji zapisane w tożsamości nadawcy. Osobne poprawki dotyczą filtrowania CSS, SVG, zdalnych treści i serwera proxy używanego przez Roundcube.
Czy użytkownik Roundcube musi coś zrobić?
Jeżeli Roundcube dostarcza operator poczty lub hostingodawca, aktualizacja należy zwykle do administratora usługi. Przy własnej instalacji trzeba sprawdzić wersję i przejść co najmniej do 1.6.19 albo 1.7.4. Zmiana hasła użytkownika nie usuwa podatności aplikacji webmail.
Źródło: Roundcube – Security updates 1.6.19 and 1.7.4 released