Roundcube Webmail, un cliente de correo electrónico IMAP basado en web y de código abierto ampliamente utilizado, ha lanzado la versión 1.6.14, que incluye parches de seguridad críticos para solucionar múltiples vulnerabilidades graves en la rama 1.6.x. Esta actualización resuelve una amplia gama de problemas de seguridad, que van desde riesgos de escritura arbitraria de archivos antes de la autenticación hasta cross-site scripting (XSS) y server-side request forgery (SSRF). 

Un cliente de correo IMAP basado en web y de código abierto ampliamente utilizado, Roundcube Webmail, ha lanzado la versión 1.6.14, que incluye parches de seguridad críticos para solucionar múltiples vulnerabilidades graves en la rama 1.6.x.

Esta actualización resuelve una amplia gama de problemas de seguridad, que van desde riesgos de escritura arbitraria de archivos pre-autenticación hasta cross-site scripting (XSS) y server-side request forgery (SSRF).

Los administradores de sistemas deben aplicar esta actualización con urgencia para proteger su infraestructura de comunicaciones de posibles explotaciones por parte de actores maliciosos.

Vulnerabilidades críticas solucionadas

La vulnerabilidad más grave parcheada en esta versión implica un fallo de escritura arbitraria de archivos pre-autenticación. Descubierta por el investigador de seguridad y0us, este problema surge de la deserialización insegura en los manejadores de sesiones de Redis y Memcached.

Como este fallo no requiere que un atacante se autentique, representa un riesgo significativo para la ejecución remota de código sin autenticación en servidores web vulnerables.

Si se explota, los atacantes podrían obtener control total sobre el entorno de la aplicación. Además, la actualización parchea una vulnerabilidad de SSRF e divulgación de información.

Reportada por Georgios Tsimpidas, este fallo permitía a los atacantes explotar enlaces de hojas de estilo para acceder a hosts en la red local.

Esta vulnerabilidad podría permitir a los actores maliciosos mapear arquitecturas de redes internas o extraer datos sensibles de servicios internos ocultos que normalmente están protegidos del acceso público en internet.

La versión 1.6.14 también resuelve un error lógico crítico en los mecanismos de gestión de cuentas. El investigador de seguridad flydragon777 reportó un problema en el que los atacantes podían cambiar la contraseña de una cuenta sin proporcionar la contraseña anterior.

Esto debilitaba gravemente la seguridad de las cuentas y podía llevar a la toma completa de las mismas si una sesión activa era secuestrada temporalmente.

Además, el Martila Security Research Team identificó una vulnerabilidad combinada de inyección IMAP y bypass de Cross-Site Request Forgery (CSRF) ubicada en la funcionalidad de búsqueda de correo.

Este fallo podría permitir a actores maliciosos manipular comandos del servidor de correo backend y realizar acciones no autorizadas en nombre de un usuario autenticado.

Bypass de seguridad en el lado del cliente

El equipo de desarrollo abordó varias vulnerabilidades del lado del cliente que podrían permitir la ejecución o el seguimiento de payloads maliciosos en el navegador de la víctima.

Se parcheó una vulnerabilidad de XSS presente en la función de previsualización de archivos adjuntos HTML, reportada por aikido_security. También se solucionaron múltiples métodos utilizados para eludir el bloqueo de imágenes remotas.

Un investigador conocido como nullcathedral reportó bypasses que utilizaban varios atributos de animación SVG y atributos de fondo de cuerpo manipulados.

El bloqueo de imágenes remotas es una característica de privacidad vital que evita que los remitentes de correos electrónicos usen píxeles de seguimiento para confirmar si un correo fue abierto.

El mismo investigador también identificó un fallo que permitía eludir las mitigaciones de posición fija mediante el uso indebido de la regla CSS !important, que ahora ha sido resuelto de manera definitiva.

Además de la extensa lista de correcciones de seguridad, la versión 1.6.14 incluye un parche funcional que resuelve problemas con conexiones a bases de datos PostgreSQL que utilizan direcciones IPv6.

El equipo de desarrollo de Roundcube considera esta versión altamente estable. Recomiendan a los administradores actualizar de inmediato todas las instalaciones en producción de Roundcube 1.6.x para asegurar sus entornos.

Los administradores de sistemas deben hacer una copia de seguridad segura de todos los datos de la base de datos y la aplicación antes de iniciar el proceso de actualización para evitar pérdidas de datos inesperadas.

Los paquetes de actualización, firmas criptográficas y código fuente están disponibles para descargar en el repositorio oficial de Roundcube en GitHub.