odmin@opslog: ~/blog
← cd ..
odmin@opslog:~/blog$ cat roundcube1-7-5.md

Выпущены Roundcube 1.6.20 и 1.7.5

Опубликованы обновления безопасности Roundcube Webmail 1.6.20 и 1.7.5 для веток 1.6 LTS и 1.7. В обеих версиях исправлены недавно обнаруженные уязвимости.

Исправления безопасности

  • Исправлена инъекция IMAP-команд через символы CRLF в параметре _uid действий mail/headers и mail/viewsource. Об уязвимости сообщил Wahab «NeoX» K.
  • Исправлена ошибка, из-за которой при входе через псевдоним не учитывался IMAP-хост. Об уязвимости сообщил Милан Хоппе.
  • Добавлено ограничение размера содержимого, обрабатываемого CSS-прокси. Об уязвимости сообщил Милан Хоппе.
  • Исправлен обход SSRF-фильтра is_local_url() с помощью NAT64-префикса 64:ff9b::/96. Об уязвимости сообщил dizconnect.
  • Исправлен обход блокировки удалённого содержимого через атрибут by в SVG SMIL. Об уязвимости сообщил Милан Хоппе.
  • Повторно исправлен обход блокировки удалённого содержимого с помощью escape-последовательностей CSS в атрибутах FuncIRI. Об уязвимости сообщил Милан Хоппе.
  • Исправлена передача потенциально небезопасного содержимого вложений в ImageMagick при изменении размера изображений. Об уязвимости сообщил Паулос Йибело.
  • Исправлена инъекция почтовых заголовков через отображаемое имя отправителя в поле From при повторной отправке письма действием Bounce. Об уязвимости сообщил Clay.
  • Исправлена инъекция почтовых заголовков через параметры References, In-Reply-To, Message-ID и From. Об уязвимости сообщил Сунил Трипати.
  • Исправлена возможность инъекции объектов в rcube_session::unserialize() через ключи сессии, начинающиеся с !. Об уязвимости сообщил Oli Z.
  • Исправлен обход ограничений ресурсов ImageMagick при переключении на GD во время создания миниатюр. Об уязвимости сообщил GoldenSW.
  • Исправлен обход ограничения области действия CSS в HTML-письмах с помощью at-правил. Об уязвимости сообщил GoldenSW.
  • Исправлен обход настройки disabled_actions через устаревшие псевдонимы действий. Об уязвимости сообщили Squirt1e, Atum, N0b0dy и Gh0u1L5.
  • Исправлена инъекция IMAP-команд через символы CRLF в параметре _flag действия mail/mark. Об уязвимости сообщили Squirt1e, Atum, N0b0dy и Gh0u1L5.
  • Исправлен обход проверки CSRF при пометке письма как спама. Об уязвимости сообщили Squirt1e, Atum, N0b0dy и Gh0u1L5.
  • Исправлена XSS-уязвимость при обработке сообщений об ошибках от драйверов плагина password. Об уязвимости сообщили Squirt1e, Atum, N0b0dy и Gh0u1L5.
  • Исправлена инъекция почтовых заголовков через тему письма, пересылаемого как вложение. Об уязвимости сообщили Squirt1e, Atum, N0b0dy и Gh0u1L5.
  • Исправлена инъекция почтовых заголовков через тип содержимого встроенного изображения в data URI. Об уязвимости сообщили Squirt1e, Atum, N0b0dy и Gh0u1L5.
  • Исправлена ошибка, позволявшая драйверу Modoboa плагина password менять пароль другой учётной записи. Об уязвимости сообщили Squirt1e, Atum, N0b0dy и Gh0u1L5.
  • Исправлено небезопасное использование имени пользователя в пути к файлу импорта SquirrelMail. Об уязвимости сообщили Squirt1e, Atum, N0b0dy и Gh0u1L5.

Полный список изменений приведён на страницах выпусков Roundcube 1.6.20 и Roundcube 1.7.5.

Разработчики настоятельно рекомендуют обновить все рабочие установки Roundcube веток 1.6.x и 1.7.x до новых версий.