Roundcube ha lanzado las versiones 1.6.18 y 1.7.3 para corregir once vulnerabilidades de seguridad en su plataforma de webmail. Las actualizaciones solucionan fallos críticos, incluyendo ejecución remota de código (RCE), omisiones de falsificación de solicitudes del lado del servidor (SSRF), vulnerabilidades de inyección y problemas de cross-site scripting (XSS) almacenado. Se recomienda a los administradores de las versiones 1.6.x o 1.7.x actualizar lo antes posible.

Roundcube ha lanzado las versiones 1.6.18 y 1.7.3 para solucionar once vulnerabilidades de seguridad que afectan a su plataforma de webmail. Las actualizaciones corrigen un fallo de ejecución remota de código, elipses de seguridad en el falsificación de solicitudes del lado del servidor (SSRF), vulnerabilidades de inyección y problemas de cross-site scripting (XSS) almacenado.

Si eres un administrador que utiliza Roundcube 1.6.x o 1.7.x, deberías actualizar lo antes posible. El problema más grave es una vulnerabilidad de ejecución remota de código (RCE) en el plugin markasjunk. El fallo afecta al controlador cmd_learn del plugin, que se utiliza para enviar mensajes a un backend de aprendizaje de spam.

El investigador de seguridad nept1337 reportó el problema. Una explotación exitosa podría permitir que un atacante ejecute comandos dentro del entorno afectado de Roundcube, suponiendo un riesgo directo para el servidor de webmail y potencialmente para otros sistemas accesibles desde este.

Roundcube es ampliamente utilizado como una interfaz basada en navegador para servicios de correo electrónico. Debido a que procesa el contenido del correo, se conecta a servidores IMAP y puede integrarse con directorios LDAP, filtros Sieve y herramientas de gestión de spam, un compromiso puede proporcionar un punto de entrada útil a la infraestructura de mensajería de tu organización.

Lanzamiento de Roundcube 1.6.18 y 1.7.3 con correcciones

Una vulnerabilidad RCE en este entorno podría permitir a los atacantes robar datos de correo, establecer persistencia o pivotar hacia servicios internos. El lanzamiento también corrige vulnerabilidades de bypass del filtro SSRF en la lógica de validación de URL locales de Roundcube.

El SSRF ocurre cuando un atacante puede hacer que una aplicación envíe solicitudes a ubicaciones elegidas por él, incluidos servicios internos que no son accesibles públicamente. Un bypass involucraba rangos de direcciones locales especiales, incluyendo 100.64.0.0/10 y fe80::/10.

Otro utilizaba nombres de host nip.io y sslip.io manipulados que podían evadir la comprobación is_local_url(). Dmytro Ivanenko y Milan Hoppe reportaron estos problemas.

En un escenario práctico, un atacante podría explotar una vulnerabilidad SSRF para solicitar una página administrativa interna, un endpoint de metadatos de la nube o un servicio que se ejecute solo en una interfaz de red privada.

El impacto depende del diseño de tu red y de los controles de acceso saliente. Sin embargo, los servidores de webmail con una conectividad interna amplia pueden enfrentar una mayor exposición.

Otras correcciones en las dos versiones incluyen un fallo de inyección de filtros LDAP, inyección arbitraria de scripts Sieve, inyección de comandos IMAP, XSS almacenado en la acción “Añadir a la libreta de direcciones” y bypasses de sanitización HTML/CSS.

Roundcube también corrigió un problema del controlador de contraseñas que podría exponer un token de autenticación a un host controlado por el usuario. Los investigadores acreditados por el conjunto más amplio de hallazgos incluyen a Zach Hanley de Horizon3.ai, Paulos Yibelo de pwn.ai, vectrain y meifukun.

Las implementaciones afectadas incluyen las versiones de Roundcube 1.6.x anteriores a la 1.6.18 y las versiones 1.7.x anteriores a la 1.7.3. Roundcube no ha informado de explotaciones confirmadas en el mundo real en su aviso. Sin embargo, el rango y la gravedad de los errores parcheados hacen que una remediación rápida sea importante.

Deberías actualizar a Roundcube 1.6.18 o 1.7.3, dependiendo de tu rama de versión. También deberías revisar si el plugin markasjunk es necesario y desactivarlo si no lo estás usando.

Puedes reducir aún más el riesgo de SSRF restringiendo las conexiones salientes desde el host de Roundcube y limitando su acceso a servicios internos sensibles.

Fuentes:
https://cybersecuritynews.com/roundcube-1-6-18-and-1-7-3-released-with-fix/