Atualização de segurança aborda injeção de cabeçalhos, SSRF e acesso entre usuários
O Roundcube Webmail lançou atualizações de segurança para seus ramos 1.6 LTS e 1.7, corrigindo 12 vulnerabilidades que poderiam expor usuários e servidores a ataques de cross-site scripting (XSS), injeção de cabeçalho de email, acesso de dados entre usuários, contornamentos de conteúdo remoto e ataques de falsificação de solicitação no lado do servidor (SSRF).
Detalhes técnicos das vulnerabilidades
Uma das questões mais graves corrigidas é uma vulnerabilidade de cross-site scripting (XSS) armazenado de clique zero envolvendo a injeção de tags MIME TNEF em URLs de anexos. TNEF, ou Transport Neutral Encapsulation Format, é comumente associado a anexos do Microsoft Outlook. Um atacante poderia potencialmente enviar um email especialmente elaborado que dispara a execução de script malicioso quando a vítima visualiza a mensagem, sem exigir que o usuário clique em um link ou abra um anexo.
As atualizações também corrigem outra vulnerabilidade XSS no editor HTML do Roundcube ao lidar com conteúdo de email enriquecido. Falhas de cross-site scripting podem permitir que atacantes executem JavaScript na sessão de webmail de uma vítima, criando oportunidades para roubar tokens de sessão, alterar configurações de caixa de correio, ler mensagens ou realizar ações como o usuário logado.
Várias correções abordam riscos de injeção de cabeçalho de email. Essas falhas afetavam o campo de assunto, o nome de exibição do destinatário e o campo de organização de uma identidade. Vulnerabilidades de injeção de cabeçalho podem ser exploradas para manipular metadados de email ou inserir cabeçalhos de email inesperados se a entrada maliciosa não for corretamente sanitizada.
Impacto e alcance
O Roundcube também corrigiu uma vulnerabilidade de acesso entre usuários em livros de endereço baseados em SQL. A falha envolvia adicionar ou remover membros de grupos de contatos. Isso poderia permitir que um usuário modificasse as associações de grupo de outro usuário sob certas condições. Esse tipo de problema pode comprometer a privacidade de contatos e a integridade dos dados do livro de endereço em ambientes Roundcube compartilhados ou hospedados.
Proteções de conteúdo remoto receberam múltiplas correções, abordando falsificação de declaração CSS, injeção de propriedade de fundo do corpo HTML, contornamentos de escape CSS em atributos FuncIRI e técnicas de animação de origem SVG SMIL que poderiam contornar o bloqueio de conteúdo remoto.
Medidas de mitigação recomendadas
- Atualizar imediatamente para as versões 1.6.19 e 1.7.4.
- Revisar configurações de segurança do Roundcube.
- Monitorar logs de acesso para identificar tentativas de exploração.
- Implementar políticas de segurança de email para filtrar anexos TNEF.
O que os CISOs devem fazer imediatamente
Administradores executando implantações de produção do Roundcube 1.6.x ou 1.7.x devem atualizar o mais rápido possível. O projeto recomenda fortemente que todas as organizações operando instalações Roundcube afetadas apliquem as atualizações prontamente. A segurança do webmail é crítica para a proteção de dados corporativos e a privacidade dos usuários.