Roundcube закрыл 20 уязвимостей. Наша веб-почта обновилась за ночь

Roundcube — веб-почта с открытым исходным кодом, которой пользуются многие хостинг-компании. Уязвимость в Roundcube — это уязвимость на той самой странице, где вы читаете и пишете письма, поэтому важнее всего, как скоро приходит исправление.

Что исправили#

19 октября разработчики Roundcube выпустили версии 1.7.5 и 1.6.20 с одними и теми же 20 исправлениями безопасности. Большинство уязвимостей касались тех частей веб-почты, которые вы видите и которыми пользуетесь:

• Отправка писем. Четыре позволяли добавить в отправляемое письмо лишние скрытые строки (их называют заголовками), например через тему письма, которое вы пересылаете.
• Чтение писем. Две позволяли письму загрузить картинки из интернета, даже если веб-почта настроена сначала спрашивать вас. По таким картинкам многие отправители и узнают, открыли ли вы их письмо. Ещё одна позволяла оформлению письма выйти за его пределы и изменить страницу веб-почты вокруг него, а две касались того, как веб-почта уменьшает и преобразует приложенные картинки, чтобы показать их вам.
• Другие функции веб-почты. Две позволяли передать лишние команды серверу, на котором хранится ваш почтовый ящик, — через просмотр исходного текста письма и пометку писем. Одна позволяла стороннему сайту заставить ваш браузер пометить письма как спам, если вы в это время не вышли из веб-почты. Ещё одна могла привести к тому, что сообщение об ошибке на странице смены пароля запустит код в вашем браузере. Кнопка «Пометить как спам» и страница смены пароля в нашей веб-почте есть.

Остальные уязвимости касались внутреннего устройства веб-почты, например того, как она хранит данные вашего сеанса, или частей, которыми наша веб-почта не пользуется, например той части модуля смены пароля, которая работает с другой почтовой системой.

Сами разработчики Roundcube опасность уязвимостей не оценивали. Первая запись CVE появилась 20 октября: она касается одной из уязвимостей с лишними командами почтовому серверу и оценивает её опасность как высокую, если злоумышленник уже вошёл в какой-нибудь почтовый ящик. Сообщений о том, что какой-либо из этих уязвимостей пользовались в атаках, мы не видели.

Когда исправление дошло до нашей веб-почты#

Каждую ночь наша веб-почта проверяет, не вышли ли обновления для её версии Roundcube, и, если вышли, сама их устанавливает. Прежде чем оставить новую версию, она проверяет, что открывается страница входа и что веб-почта может подключиться к почтовому серверу, а если что-то не так — сама возвращается к предыдущей версии.

Версию 1.7.5 разработчики Roundcube опубликовали 19 октября в 07:02 UTC. Наше ночное обновление установило её 20 октября в 03:50 UTC, примерно через 21 час, вместо версии 1.7.4. Вмешиваться никому не пришлось.

На наших хостинг-серверах есть и вторая копия Roundcube — та, что встроена в cPanel. Вы ею не пользуетесь, если только мы не настроили для вашего аккаунта вход в почту из cPanel: ссылки на веб-почту на нашем сайте и в личном кабинете, как и старая закладка на webmail.вашдомен.com, ведут на webmail.maxinodes.com. Свою копию cPanel обновляет вместе с собственными выпусками, а версию с этими исправлениями, 1.6.20, cPanel пока не выпустил. Когда выпустит, наши серверы установят её автоматически при ночном обновлении cPanel, и мы добавим сюда дату.

Что нужно сделать вам#

Ничего. Почтовые программы — Outlook, Apple Mail или почта на телефоне — Roundcube вообще не используют, так что эти уязвимости их не касались.

Если в веб-почте что-то работает не так, как раньше, — напишите нам.