Roundcube Webmail no Fedora: Guia Completo de Segurança e Correção de Vulnerabilidades

Aprenda a corrigir vulnerabilidades de XSS e SQL no Roundcube Webmail no Fedora com um guia perene completo: comandos de verificação, script de correção automática e mitigações alternativas usando iptables e ModSecurity. Inclui recomendação de livro para aprofundamento em segurança Linux.

O Roundcube Webmail é, indiscutivelmente, um dos clientes de e-mail de código aberto mais populares, integrado por padrão em muitos painéis de controle de hospedagem e adotado por universidades e empresas em todo o mundo. No entanto, como qualquer software robusto, ele não está imune a vulnerabilidades.

Ao longo de 2025 e 2026, diversos problemas de segurança foram identificados e corrigidos, incluindo falhas graves de XSS (Cross-Site Scripting), injeção de CSS, SQL Injection e até mesmo execução remota de código (RCE). 

Se você administra um servidor de e-mail Fedora ou CentOS / RHEL, a data específica desses avisos não é o mais importante. O que realmente importa é garantir que seu sistema esteja sempre protegido contra essas ameaças agora e no futuro.

Neste guia, você aprenderá a verificar seu ambiente, automatizar a correção e aplicar mitigações alternativas robustas, independentemente de quando essa atualização foi lançada.

Como verificar se você está vulnerável

Antes de aplicar qualquer correção, é essencial diagnosticar a situação atual do seu servidor. 

As vulnerabilidades abordadas nesta correção estão contidas nas versões do Roundcube anteriores à 1.6.16 (no branch 1.6.x) e na release candidate 1.7.0 para Fedora 44 (versão 1.7-rc6).

1. Identifique a versão atual do Roundcube

O primeiro passo é descobrir exatamente qual versão está rodando no seu sistema. Execute os comandos abaixo no terminal do seu servidor Fedora:

bash

# Método 1: Consultando o RPM (mais preciso para instalados via pacote)
rpm -q roundcubemail

# Método 2: Verificando via DNF
dnf list installed roundcubemail

# Método 3: Acessando o configurando do Roundcube (se instalado manualmente)
grep '^$config\[' /var/www/html/roundcubemail/config/config.inc.php | grep version

2. Teste manual para XSS via SVG

Crie um arquivo HTML de teste com o seguinte payload (somente em ambiente de testes controlado) para simular uma das vulnerabilidades conhecidas, como a falha de sanitização de SVG:

html

<svg>
  <animate attributeName="xlink:href" values="javascript:alert('XSS')" />
</svg>

Se, ao visualizar o e-mail contendo esse código no Roundcube, aparecer um alerta (alert('XSS')), seu sistema está vulnerável.

3. Consulte o banco de dados de vulnerabilidades

Ferramentas como o Nuclei (com o template específico para CVE-2025-68461) podem automatizar a varredura e identificar versões vulneráveis de forma confiável. Baixe e utilize:

bash

# Instalar Nuclei
go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest

# Executar template
nuclei -u https://seudominio.com/webmail -tags roundcube

Script de automação para aplicar a correção

Para corrigir as vulnerabilidades de forma definitiva, a atualização da versão é indispensável. As versões corrigidas contêm, entre outras correções, a prevenção contra XSS via SVG e injeção de CSS.

Este script Bash foi desenvolvido para Fedora 43, 44 e versões superiores compatíveis. Ele automatiza todo o processo de backup, atualização e verificação.

bash

#!/bin/bash
# Script de Hardening para Roundcube Webmail - Fedora
# Compatível com Fedora 43+

set -e  # Interrompe o script em caso de erro

# --- Configurações ---
LOG_FILE="/var/log/roundcube_hardening.log"
DATE=$(date '+%Y-%m-%d %H:%M:%S')
BACKUP_DIR="/backups/roundcube_$(date '+%Y%m%d_%H%M%S')"
WEB_ROOT="/var/www/html/roundcubemail"  # Ajuste conforme sua instalação

# Função para log
log() {
    echo "[$DATE] $1" | tee -a "$LOG_FILE"
}

log "Iniciando processo de correção de vulnerabilidades do Roundcube..."

# 1. Backup do banco de dados e arquivos de configuração
log "Criando backup completo..."
mkdir -p "$BACKUP_DIR"
cp -r "$WEB_ROOT/config" "$BACKUP_DIR/config" 2>/dev/null || log "Aviso: Pasta config não encontrada"
mysqldump -u root -p roundcubemail > "$BACKUP_DIR/roundcubemail.sql" 2>/dev/null && log "Backup do banco realizado"

# 2. Atualização via DNF
log "Atualizando pacote roundcubemail..."
dnf upgrade roundcubemail --assumeyes

# 3. Verificação final
log "Correção finalizada. Limpando cache..."
systemctl restart httpd nginx php-fpm 2>/dev/null

log "Versão instalada: $(rpm -q roundcubemail)"
log "Hardening concluído com sucesso em $DATE"
exit 0

Como usar:

 1. Salve o conteúdo acima em um arquivo, por exemplo update_roundcube.sh.

 2. Torne-o executável: chmod +x update_roundcube.sh.

 3. Execute como root ou com sudo: sudo ./update_roundcube.sh.

Leitura recomendada para aprofundar

Manter-se atualizado sobre segurança de servidores é um ciclo contínuo de aprendizado. 

Para dominar a arte de defender (e testar) seus sistemas Linux de forma proativa, recomendo fortemente o livro abaixo. 

Ele ensina não apenas a remediar vulnerabilidades, mas a pensar como um atacante para antecipar ameaças, um conhecimento indispensável para quem trabalha com e-mail e servidores web públicos.

Segurança de Servidores: Linux:  Ataque e Defesa (anúncio) -> https://amzn.to/3Q0RkfK

Essa livro é uma escolha certeira porque aplica na prática a mesma filosofia do nosso guia: para se proteger, é preciso entender a mente e as ferramentas de um atacante. 

O livro ensina a "pensar como hacker" para bloquear invasores, usando as mesmas ferramentas que eles usam (como Nmap e netcat), mas a seu favor. Esta é uma abordagem muito mais eficaz e duradoura do que apenas seguir receitas de correção.

Mitigação alternativa caso não possa atualizar agora

Se você não pode atualizar o Roundcube imediatamente (por questões de compatibilidade ou políticas internas), as seguintes barreiras de rede e aplicação podem reduzir drasticamente o risco de exploração das vulnerabilidades conhecidas.

1. Bloqueio de SVG maliciosos com ModSecurity

Um Web Application Firewall (WAF) como o ModSecurity pode bloquear requisições que tentem explorar as vulnerabilidades de XSS ou injeção de CSS, agindo como uma camada extra de proteção.

Instale e ative o ModSecurity com o OWASP Core Rule Set:

bash

dnf install mod_security mod_security_crs

Adicione a seguinte regra customizada para bloquear o padrão do CVE-2025-68461:

apache

SecRule REQUEST_BODY "(<animate.*?attributeName=[\"']xlink:href[\"'])" "id:1001,deny,status:403,msg:'Roundcube SVG XSS Attack Blocked'"

2. Bloqueio de rotas vulneráveis com iptables

As vulnerabilidades de injeção de SQL e SSRF (Server-Side Request Forgery) podem ser mitigadas ao restringir conexões de saída do servidor de webmail utilizando iptables.

bash

# Bloqueia acesso do servidor webmail a redes locais internas
iptables -A OUTPUT -d 10.0.0.0/8 -j REJECT --reject-with icmp-net-unreachable
iptables -A OUTPUT -d 172.16.0.0/12 -j REJECT --reject-with icmp-net-unreachable
iptables -A OUTPUT -d 192.168.0.0/16 -j REJECT --reject-with icmp-net-unreachable

3. Configuração do PHP para mitigar desserialização insegura

Vulnerabilidades como a de desserialização insegura no Redis/Memcache podem ser bloqueadas ao configurar o PHP para não permitir a desserialização de objetos de fontes não confiáveis.

No seu php.ini:

ini

session.serialize_handler = php
allow_url_fopen = Off
allow_url_include = Off

---

Conclusão

Proteger seu servidor de webmail contra vulnerabilidades não é uma tarefa única, mas um ciclo contínuo de monitoramento e ação. Neste guia, você aprendeu a:

• Verificar sua instalação do Roundcube para identificar versões vulneráveis usando comandos diretos ou ferramentas como Nuclei.

• Automatizar a correção com um script Bash simples, garantindo que seu ambiente volte a um estado seguro rapidamente.

• Mitigar riscos imediatos com camadas adicionais de segurança (ModSecurity, iptables e PHP), mesmo quando a atualização não é possível de imediato.

O conhecimento sobre segurança de servidores Linux e e-mail é o que separa um administrador reativo de um profissional proativo. 

Para aprofundar suas habilidades e garantir que nenhuma vulnerabilidade pegue você de surpresa, a leitura recomendada será um excelente investimento. Sua segurança e a de seus usuários começam com as ações que você toma hoje.