Roundcube publicó el 9 de noviembre las versiones 1.6.21 y 1.7.6 con 17 correcciones de seguridad. El proyecto recomendó actualizar las instalaciones en producción y pidió preparar la migración desde la rama 1.6, cuyo mantenimiento terminará próximamente, aunque el anuncio no fija una fecha. Anuncio de Roundcube.
El centro francés de respuesta a incidentes CERT-FR emitió al día siguiente un aviso que identifica como afectadas las versiones 1.6.x anteriores a 1.6.21 y las 1.7.x anteriores a 1.7.6. Su evaluación enumera riesgos de evasión de políticas de seguridad, denegación de servicio a distancia y ejecución de código arbitrario, además de solicitudes falsificadas desde el servidor o a través del navegador del usuario. Aviso de CERT-FR.
El paquete aborda problemas en varios componentes: inyección de instrucciones en filtros Sieve, manipulación de cabeceras de correo, validaciones insuficientes de solicitudes y procesamiento de adjuntos. También corrige un bucle que podía consumir recursos del procesador y provocar una denegación de servicio. Detalle de las correcciones.
Las notas de la versión 1.7.6 precisan que algunos problemas dependen de componentes o configuraciones concretos, como la caché de mensajes, el corrector ortográfico ATD o la conversión de imágenes con ImageMagick. La enumeración de fallas, por tanto, no equivale a afirmar que todas puedan explotarse de la misma manera en cualquier instalación. Notas de Roundcube 1.7.6.
El aviso francés remite a los parches del desarrollador. Ni ese documento ni el anuncio de Roundcube describen una campaña de explotación activa de este conjunto de fallas. Ambos comunican vulnerabilidades y correcciones, sin identificar organizaciones que hayan sufrido ataques por ellas. Alcance del aviso oficial.
La actualización llega tres semanas después de las versiones 1.6.20 y 1.7.5, publicadas el 19 de octubre. Ese lanzamiento ya había corregido problemas de validación de solicitudes, manejo de mensajes y adjuntos. Los dos boletines muestran que las revisiones de noviembre incorporan arreglos posteriores a los disponibles en octubre. Actualización de octubre.
Además de los cambios de seguridad, Roundcube 1.7.6 añade soporte para PHP 8.6 y corrige errores operativos. Entre ellos figura un problema por el cual los scripts de instalación o actualización podían informar éxito aunque hubiera fallado una etapa del proceso. Cambios adicionales de la versión.
La advertencia sobre 1.6 añade una decisión de mantenimiento para sus administradores. El equipo explica que trasladar correcciones a esa rama, de cuatro años de antigüedad, resulta cada vez más laborioso y propenso a errores. La versión 1.6.21 ofrece el parche actual, mientras el proyecto orienta la transición hacia 1.7. Advertencia sobre el mantenimiento de 1.6.