Roundcube corrige 12 failles dont une qui attaque sans clic

Si tu héberges ton propre webmail, il y a de fortes chances que ce soit Roundcube. Ce petit logiciel libre qui affiche ta boîte mail dans le navigateur vient de recevoir deux mises à jour de sécurité : 1.6.19 et 1.7.4. Au programme, 12 failles corrigées, dont une particulièrement déplaisante : un script malveillant peut s'exécuter dans ta boîte sans que tu aies besoin de cliquer quoi que ce soit. L'annonce a été publiée le 6 septembre sur le site officiel du projet, et la recommandation est sans ambiguïté : toutes les installations en production doivent être mises à jour.

Roundcube, c'est quoi exactement

Roundcube, c'est le webmail que beaucoup d'hébergeurs, d'associations, d'écoles ou d'entreprises installent derrière une adresse du genre mail.mondomaine.fr. Ce n'est pas un fournisseur de messagerie : le logiciel se contente d'être une interface web qui se connecte à ton serveur de mails, via le protocole IMAP, celui qui permet de lire et de ranger tes messages. Son avantage, c'est qu'il reste chez toi ou chez l'hébergeur de ton choix, sans dépendre d'un géant du web. Sa contrepartie : quand une faille sort, c'est à celui qui l'héberge de corriger. Personne d'autre ne bougera pour toi.

La faille qui attaque sans clic

Dans la liste des 12 correctifs, une faille sort du lot : une XSS stockée « zero-click ». Décomposons. Une XSS, pour cross-site scripting, permet d'injecter du code JavaScript dans une page que tu consultes. « Stockée » signifie que le code malveillant est enregistré, ici via l'URL d'une pièce jointe dans un mail piégé. Et « zero-click » veut dire exactement ce que ça dit : le script s'exécute dès que le message s'affiche à l'écran. Pas de lien à cliquer, pas de pièce jointe à ouvrir, rien.

La faille exploite le format TNEF, un format d'encapsulation de pièces jointes associé à Microsoft Outlook, encore utilisé dans plein d'environnements professionnels. Une fois le script exécuté dans ta session, l'attaquant peut lire tes mails, récupérer ton jeton de session, modifier des réglages ou agir comme toi dans le webmail. C'est la faute d'URL de pièce jointe mal filtrée qui ouvre tout.

Les 11 autres correctifs couvrent des familles de failles classiques mais sérieuses :

• trois injections d'en-têtes mail, via le champ objet, le nom du destinataire ou le champ organisation d'une identité
• un contournement d'accès croisé dans les carnets d'adresses SQL, qui permettait d'ajouter ou de retirer des membres dans les groupes de contacts d'un autre utilisateur
• plusieurs contournements du blocage du contenu distant, via du CSS malicieux ou des animations SVG, ce qui permet de charger des ressources externes censées être bloquées
• une SSRF, une faille qui pousse un serveur à faire des requêtes vers des ressources internes, contournée dans le proxy CSS via des adresses IPv6 encodées en hexadécimal
• une seconde XSS dans l'éditeur HTML, déclenchée par du contenu au format text/enriched

Cet extrait vient de Roundcube.net, la page officielle des mises à jour de sécurité du projet.

Ce que tu dois faire

Si tu gères toi-même un Roundcube en version 1.6.x ou 1.7.x, la mise à jour est le seul vrai remède : passe en 1.6.19 ou en 1.7.4, en suivant les notes de version du projet. Si tu es chez un hébergeur, tu ne peux pas patcher toi-même : pose-lui la question en citant l'annonce du 6 septembre, et attends confirmation de la montée de version. Dans tous les cas, ce genre de faille rappelle deux réflexes utiles : se déconnecter puis se reconnecter pour repartir sur un jeton de session neuf, et ne jamais croire qu'un webmail est à l'abri parce que personne ne connaît ton mot de passe. Une XSS dans ta session s'en fiche.

C'est la même leçon que la porte dérobée restée 12 ans dans PostgreSQL, dont on parlait récemment : la longévité d'un logiciel libre n'est pas un bouclier. Et c'est valable côté mobile aussi, comme avec la faille Android de Canva corrigée la semaine passée. La mise à jour reste la seule défense qui vaille.

Pourquoi ça dépasse le cas Roundcube

Roundcube n'est pas un logiciel de niche : il équipe l'interface webmail de très nombreux hébergeurs et, par ricochet, des millions de boîtes. Une XSS dans un webmail, c'est une clé vers tout le contenu d'une adresse : messages de réinitialisation de mot de passe, factures, pièces administratives. Un mail de réinitialisation intercepté, c'est souvent une porte vers le reste de ta vie numérique. D'où l'intérêt de prendre cette annonce au sérieux, même si tu n'héberges rien toi-même : celui qui héberge ta boîte, au bout de la chaîne, lit sans doute ce genre d'annonce moins souvent que toi.

Douze failles d'un coup, ça fait beaucoup. Mais douze failles corrigées gratuitement, en open source, dans les jours qui suivent les signalements, c'est aussi la meilleure démonstration du modèle. Reste la partie qui ne se télécharge pas toute seule : quelqu'un, quelque part, doit appuyer sur « mettre à jour ».

Sources

Roundcube.net, l'annonce officielle des mises à jour de sécurité 1.6.19 et 1.7.4, avec la liste complète des failles.

GitHub Roundcube, les notes de version détaillées des branches 1.6.19 et 1.7.4.

Cyber Security News, le résumé technique des 12 vulnérabilités corrigées.

—

Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.