Вышли исправления безопасности для Roundcube Webmail. Они закрывают несколько уязвимостей в веб-клиенте почты. Часть из них позволяет внедрять команды в IMAP, протокол доступа к почтовому ящику, и подделывать заголовки писем. Затронуты все установки без свежих обновлений.
Внедрение команд, подделка запросов и обход блокировки контента
Уведомление о выпуске появилось 19 октября 2026 года, а последнее дополнение к нему вышло 4 ноября. За это время в уведомлении несколько раз расширяли перечень идентификаторов CVE, номеров записей в публичном каталоге уязвимостей. Оценка CVE-2026-114716 по шкале CVSS, где выше значит хуже, составила 8.5. Под угрозой обе ветви, 1.6 и 1.7. При этом откладывать обновление нет смысла: часть уязвимостей связана с обработкой входящей почты.
Кроме того, у части уязвимостей общая причина. Клиент доверяет служебным символам CRLF, возврату каретки и переводу строки. В почтовых протоколах такая пара означает конец строки, поэтому CRLF в типе картинки добавляет в письмо произвольные заголовки MIME, то есть служебные поля. Так устроена CVE-2026-114716, а нужна для неё учётная запись отправителя. Похожая уязвимость в действии mail/mark позволяет дописать команды IMAP вместо флага письма.
SSRF, внешний контент и перегрузка сервера
Также часть уязвимостей связана с фильтрами для внутренних адресов. Проверка is_local_url() не учитывала префиксы NAT64, служащие для перехода между IPv4 и IPv6, поэтому запрос доходил до адресов облачных метаданных. Так выглядит подделка серверных запросов (SSRF), запись CVE-2026-114730. Учётная запись для такой атаки не нужна. Кроме того, анимация SVG через атрибут by обходила блокировку внешнего контента, поэтому получатель выдавал отправителю свой адрес.
Часть уязвимостей вела к перегрузке сервера. При этом прокси таблиц стилей читал чужой файл целиком в память, без ограничения размера. Подставной адрес мог отдать огромный файл, и процесс веб-почты исчерпывал память. Сборка миниатюр тоже шла без проверки памяти, и большое изображение уходило в библиотеку GD. Также CSS из письма выходил за пределы тела сообщения и перерисовывал кнопки интерфейса.
Что исправляют версии 1.6.20 и 1.7.5
Кроме того, отдельные уязвимости затронули плагины и вспомогательные обработчики. Загрузка фотографии контакта принимала SVG и EPS, а эти форматы умеют ссылаться на внешние ресурсы и вызывать обработчики ImageMagick. Так выглядит CVE-2026-114727. В многохостовых установках вход по alias-адресу, дополнительному имени ящика, мог привести в чужую учётную запись. При этом устаревшие псевдонимы действий обходили настройку disabled_actions.
Исправления вышли в версиях 1.6.20 и 1.7.5. Вендор опубликовал их 19 октября 2026 года вместе со списком изменений в бюллетене security-updates-1.6.20-and-1.7.5. Ветвь 1.6 остаётся выпуском с длительной поддержкой, поэтому обновлять нужно и её: часть уязвимостей затрагивает версии начиная с 1.6.14. Отдельного номера исправленной версии в записях CVE нет. При этом сведений об эксплуатации этих уязвимостей в реальных атаках нет, обходных мер источник тоже не приводит.
После установки патча меняется поведение нескольких проверок. Фильтр внутренних адресов теперь учитывает префиксы NAT64, поэтому SSRF через такие ссылки не проходит. Также CSS-прокси ограничивает ответ пятью мегабайтами и читает его потоком. SVG и EPS больше не принимаются как изображение, поэтому такие файлы не попадают в ImageMagick. Кроме того, драйвер Modoboa теперь сверяет имя пользователя, а не берёт первую запись.
У части записей CVE отмечена возможность автоматизации атаки. Среди них CVE-2026-114731 и CVE-2026-114729. Такие уязвимости повторить проще, чем те, что требуют высокой сложности. Остальные записи описывают более узкие условия, поэтому общий приоритет задаёт обновление до 1.6.20 или 1.7.5. Приоритет у тех узлов, где веб-клиент открыт в интернет.
Что делать администратору
Лучше не откладывать обновление. Сначала нужна короткая проверка совместимости с плагинами. Плагины markasjunk и password входят в набор исправлений, поэтому их версии нужно обновить вместе с ядром. Для открытой наружу веб-почты окно обслуживания лучше выбрать пораньше. SSRF проходит без учётной записи, а уязвимость CVE-2026-114718 срабатывает только при действии пользователя.
Ссылки
