Roundcube הוא ממשק דואר בדפדפן, מהסוג שספקי אחסון, מוסדות לימוד וארגונים מעמידים כדי שאפשר יהיה לקרוא דואר בלי להתקין תוכנה. בגרסאות שלפני 1.5.7 ובגרסאות סדרת 1.6 שלפני 1.6.7, הודעה שמכילה קובץ SVG בנוי במיוחד מריצה קוד בתוך דף הדואר כשהנמען פותח אותה. הציון הוא 6.1 מתוך 10, נמוך יחסית, והחולשה בכל זאת נמצאת בקטלוג החולשות שידוע על ניצולן בפועל.
מה החולשה?
ממשק דואר מציג תוכן שמישהו אחר שלח, ולכן הוא חייב לנקות אותו: להוציא כל דבר שהדפדפן עשוי להריץ ולהשאיר רק את מה שמוצג. הניקוי הזה עובד לפי רשימה של מה שמותר ומה שחייב לצאת, ומה שהרשימה אינה מכסה עובר.
מה שעבר כאן הוא SVG. זה פורמט תמונה שאינו באמת תמונה אלא מסמך: במקום פיקסלים הוא מכיל הוראות ציור, והוא יודע גם להנפיש אותן. לפי הרשומה, המאפיינים של ההנפשה, אלה שמגדירים מה משתנה ולאן, הם המקום שבו אפשר להחביא קוד שהדפדפן יריץ בתוך הדף.
כאן נדרשת הבהרה אחת, כי הבלבול בנקודה הזאת נפוץ. הרצת קוד בתוך דף הדואר אינה הרצת קוד על המחשב. הקוד רץ בתוך הממשק ובהרשאות של המשתמש שמחובר אליו, כלומר הוא יכול לעשות את מה שאותו משתמש יכול: לקרוא את ההודעות בתיבה, לשלוח הודעות בשמו, להגדיר העברה אוטומטית של הדואר לכתובת אחרת. לסוג הזה קוראים XSS.
הווקטור מסביר גם את הציון וגם למה הוא אינו כל הסיפור. 6.1 מגיע מכך שהפגיעה בסודיות ובשלמות מסומנת כנמוכה ושנדרשת פעולה של המשתמש, פתיחת ההודעה. מה שהציון אינו מתמחר הוא איזו תיבה זאת. בתיבת דואר ארגונית, נמוך מתורגם לכל התכתובת שיושבת בה.
מי מושפע?
הרשומה מונה כל גרסה של Roundcube Webmail שמתחת ל-1.5.7, וכל גרסה בסדרת 1.6 שמתחת ל-1.6.7. אלה גם שתי הגרסאות שבהן יצא התיקון. בנוסף מופיעה שם Debian 10, שקיבלה עדכון נפרד דרך תחזוקת ה-LTS של ההפצה.
בישראל Roundcube הוא ממשק הדואר שמופיע כברירת מחדל אצל ספקי אחסון, בלוחות ניהול של אתרים ובשרתי דואר של מוסדות. מי שקורא בו דואר בדרך כלל לא בחר אותו, הוא פשוט הממשק שנפתח כשנכנסים לכתובת הדואר של הדומיין.
לכן מי שצריך לפעול כאן הוא בראש ובראשונה מי שמריץ את השרת, ולא מי שקורא בו את הדואר.
האם מנוצלת בפועל?
כן, וזאת הסיבה להתייחס לחולשה הזאת אחרת ממה שהציון מציע. ב-24 באוקטובר 2024 הכניסה אותה CISA, סוכנות הסייבר האמריקאית, לקטלוג ה-KEV, רשימת החולשות שנאספה עליהן ראיה לכך שתוקפים משתמשים בהן בשטח, עם מועד תיקון לגופים הפדרליים ב-14 בנובמבר 2024.
הרשומה פורסמה ביוני 2024 והכניסה לקטלוג הייתה באוקטובר, פחות מחצי שנה אחריה. חולשה בציון 6.1 שעולה לקטלוג היא תזכורת לכך שהקטלוג מודד משהו אחר מהציון: לא כמה רע יכול להיות בתיאוריה, אלא מה קורה בפועל.
מה עושים?
מי שמנהל את השרת: שדרגו ל1.6.7 אם אתם בסדרת 1.6, או ל1.5.7 אם אתם בסדרה הקודמת. על Debian 10 העדכון מגיע מחבילות ההפצה, לפי ההודעה של צוות ה-LTS, והשינוי עצמו נמצא בקומיט שתיקן את הסינון.
מי שרק קורא דואר בממשק כזה: אין מה לעדכן אצלכם, אבל יש מה לבדוק. היכנסו להגדרות התיבה וודאו שאין כלל העברה אוטומטית, חוק סינון או כתובת מענה שלא אתם הגדרתם. זה מה שמישהו היה מגדיר אם הקוד רץ בתיבה שלכם, והגדרה כזאת ממשיכה לעבוד גם אחרי שהשרת עודכן.
ואם אתם ארגון או מוסד שמריץ Roundcube ואינכם יודעים באיזו גרסה: שאלו את מי שמתחזק את השרת או את ספק האחסון, ובקשו שדרוג לאחת הגרסאות שלמעלה. כל עוד זה לא נעשה, שום הגדרה בתיבה אינה סוגרת את החולשה.