Software-update: Roundcube Webmail 1.0.12 / 1.1.10 / 1.2.7 / 1.3.3

Wegens een beveiligingsprobleem zijn er updates uitgebracht voor Roundcube Webmail versies 1.1, 1.2 en 1.3. Versie 1.0 wordt door dit probleem niet geraakt, ondanks dat is er ook daarvoor een update verschenen. Deze in php geschreven e-mailwebclient maakt van Ajax-technologie gebruik om de gebruikersinterface te tonen, wat een moderne en vlotte indruk geeft. Roundcube Webmail heeft onder andere ondersteuning voor gedeelde mappen en namespaces, internationalized domain names en smtp-delivery status-notificaties. Daarnaast is de gebruikersinterface voor imap-mappen aangepast om zo meer ruimte te bieden voor extensies en plug-ins. De release notes voor deze uitgave zien er als volgt uit:

Security updates 1.3.3, 1.2.7 and 1.1.10 released
We just published updates to all stable versions from 1.1.x onwards delivering fixes for a recently discovered file disclosure vulnerability in Roundcube Webmail. Apparently this zero-day exploit is already being used by hackers to read Roundcube’s configuration files. It requires a valid username/password as the exploit only works with a valid session. More details will be published soon under CVE-2017-16651.

The Roundcube series 1.0.x is not affected by this vulnerability but we nevertheless back-ported the fix in order to protect from yet unknown exploits.

See the full changelog for the according version in the release notes on the Github download pages: v1.3.3, v1.2.7, v1.1.10 v1.0.12

We strongly recommend to update all productive installations of Roundcube with either one of these versions.

Mitigation

In order to check whether your Roundcube installation has been compromised check the access logs for requests like ?_task=settings&_action=upload-display&_from=timezone. As mentioned above, the file disclosure only works for authenticated users and by finding such requests in the logs you should also be able to identify the account used for this unauthorized access. For mitigation we recommend to change the all credentials to external services like database or LDAP address books and preferably also the des_key option in your config.

Versienummer	1.0.12 / 1.1.10 / 1.2.7 / 1.3.
Releasestatus	Final
Besturingssystemen	Scripttaal
Website	Roundcube Webmail
Download	https://roundcube.net/download/
Bestandsgrootte	5,09MB
Licentietype	GPL

Reacties (12)

[elparia]

Er wordt ook gewerkt aan een nieuw responsive skin op https://github.com/roundcube/elastic .

[job_h]

Als iemand zich afvraagt hoe de nieuwe skin eruit ziet: https://kolabian.wordpress.com/2017/09/23/elastic/

[TVL]

XS4ALL heeft ook Roundcube als Webmail client. Bovendien sponsort XS4ALL het Roundcube projekt.

[Verwijderd]

Wat is de opvolger van Roundcube?

[hottestbrain]

Roundcube next.
Indiegogo campagne
Twitter
Github
Recentelijk weer commits, maar het project heeft wel erg lang stilgestaan.

[Gotiniens]

Waarom zou er een opvolger zijn voor Roundcube? Het project wordt nog actief aan ontwikkeld, en er zijn zover ik weet geen grote design problemen die een complete rewrite vereisen.

[Bonthouse]

Roundcube Next. Beetje gegoochel en je hebt het antwoord

[Verwijderd]

Wordt niet meer actief ontwikkeld

[razerBE]

Ik gebruik Mailbird al even als alternatief: https://www.getmailbird.com

[luper]

Mailbird is een windows applicatie en is als zodanig natuurlijk niet vergelijkbaar met een webclient zoals Roundcube.
Rainloop zou wel is een mooi alternatief kunnen worden

[Mmore]

Wpw. Rainloop ziet er goed uit. Zijn er problemen mee waardoor je zegt dat het een alternatief kan worden of is het al klaar voor dagelijks gebruik? Host zelf geen mail server dus ben niet heel erg met de software bekend.

[GeroldM]

Round Cube is in veel gevallen geinstalleerd op de server die je mail verzorgt. Alleen al daardoor zou je dit soort software als server software kunnen aanmerken. In dit geval dekt jouw suggestie voor een alternatieve mail client de lading helemaal niet.

Een maand of twee terug heb ik een extra feature gedownload en geinstalleerd op mijn RoundCube installatie en kan ik gebruik maken van automatische filters voor de folders die ik in mijn account heb aangemaakt.

Nu is het webmail gebeuren bijna net zo veelzijdig dan een goede mail client. Voor veel personen is een webmail client niet meer dan 'meh'. Maar die automatische filter verbeterd RoundCube behoorlijk.

Maar goed, al meer dan 10 jaar gebruik mij Thunderbird voor mijn email behoeftes, maar die software word met elke nieuwe update alleen maar minder betrouwbaar. Allerlei vage errors beginnen de kop op te steken. Vooral in tab management. Ook over de zoek opties en resultaten die het produceert ben ik niet meer zo te spreken.

Vandaar dat ik de mailbird client suggestie wel waardeer. Weet je toevallig in welk formaat mail word opgeslagen met mailbird?

Ik gebruik namelijk MailStore Home om al mijn mail mee te archiveren. Als bonus, deze software geeft je meer opties om heel doelgericht en snel door meer dan 40GByte aan mail te zoeken. Rapper dan Thunderbird en met veel beter resultaat. Ik zou dan ook maar wat graag met deze software blijven werken als ik van Thunderbird naar mailbird zou overstappen.