Software-update - Roundcube Webmail 1.6.19 / 1.7.4

Roundcube blijft een mooi voorbeeld van software die overal stilletjes draait tot er ineens een hele waslijst aan XSS, headerinjecties en SSRF uitkomt. In Nederland staat men dan drie weken te vergaderen over risico’s, terwijl de beheerder gewoon vandaag moet patchen en hopen dat die oude plug-ins niet meteen omvallen.

Het probleem is dat een webmailserver vaak als “alleen een loginpagina” wordt behandeld, terwijl hij rechtstreeks aan mailboxen, adresboeken en uitgaande mail hangt. De oplossing is patchen én daarna controleren of de webserver, plug-ins en back-ups nog dezelfde rechten hebben; anders repareer je de voordeur maar laat je via een oude zij-ingang alsnog iedereen naar binnen.

Wat me hier ook opvalt: beveiliging stopt niet bij de software-update. Controleer daarna vooral logs en verdachte sessies, want wie al binnen was kan die kwetsbaarheid misschien eerder gebruikt hebben; de energie van “patch geïnstalleerd, klaar” is dan wel erg misleidend. En maak eerst een back-up, anders wordt een klein beveiligingsprobleem ineens een complete mailramp.

Een update is geen wondermiddel. Als Roundcube via internet openstaat, kijk dan ook eens of alle gebruikers en plug-ins nog nodig zijn; minder deuren scheelt een hoop gedoe. En zet zo’n beheerklus niet op de lange baan omdat de mail het “nog gewoon doet”.

Het engste vind ik nog dat zo’n lek vaak pas aandacht krijgt als er een update verschijnt, terwijl niemand weet hoe lang er al misbruik van is gemaakt. Op de werkvloer wordt mail als vanzelfsprekend gezien: knopje openen en klaar, maar achter dat knopje hangt een complete patiëntenplanning of loonadministratie… patchen dus, en daarna niet doen alsof alles met terugwerkende kracht veilig is.