Onderwerp: Exploit Roundcube! Update Roundcube ASAP

En voor customapache users even het bestand /usr/local/directadmin/scripts/roundcube.sh aanpassen. Bij versie even 0.2 van maken en dan het script roundcube.sh uitvoeren.

Daarna het liefst nog rm -rf /var/www/html/roundcubemail-0.1* want roundcube wordt er naast geïnstalleerd en via de browser is hard de oude versie nog aan te roepen.

Oorspronkelijk geplaatst door ichosting

Daarna het liefst nog rm -rf /var/www/html/roundcubemail-0.1* want roundcube wordt er naast geïnstalleerd en via de browser is hard de oude versie nog aan te roepen.

Gelukkig heeft deze geen rechten meer op de database, het is inderdaad standaard nog wel aan te roepen maar volgens mij kunnen de exploits hier nu niets meer mee.

Heb liever het zekere voor het onzekere

Daar hebben ze ook al een oplossing voor gevonden: "./build clean_old_webapps"

Inmiddels ./build update en daarna ./build roundcube, dat blijkt een stuk beter te werken! Bedankt voor de tips!

Oorspronkelijk geplaatst door ichosting

Heb liever het zekere voor het onzekere

Eens, hier is dat opgelost door een .htaccess binnen de oude folders te zetten. Permanent verwijderen is ook weer zo iets

Op de forums van DirectAdmin staat ook uitgelegd hoe je Roundcube kan updaten. Hier word ook de clean_old_webapps meegenomen om ervoor te zorgen dat de oude versies weg zijn.

cd /usr/local/directadmin/custombuild
./build update
perl -pi -e 's/clean_old_webapps=no/clean_old_webapps=yes/' options.conf
./build roundcube
./build clean

http://www.directadmin.com/forum/showthread.php?t=29240

Ik mag hopen dat bijna 6 weken na het exploit iedereen wel een update gedraaid heeft. En hij/zij wie dat nog niet gedaan heeft zal ongetwijfeld al gebeld zijn door de netwerkleverancier

w00t, WHT vetaraan. Domo, kom maar op met die gifts...

Oorspronkelijk geplaatst door Randy

Ik mag hopen dat bijna 6 weken na het exploit iedereen wel een update gedraaid heeft. En hij/zij wie dat nog niet gedaan heeft zal ongetwijfeld al gebeld zijn door de netwerkleverancier

w00t, WHT vetaraan. Domo, kom maar op met die gifts...

Dat had ik keurig en direct gedaan, maar toen was er een klant die een oude roundcube (onder zijn eigen bedachte webmail-naam) in zijn account had staan.

Het was weer een vermoeiend weekend.

Heren,

Ik zou niet meer teveel vertrouwen op Roundcube. Ik zie VM's gehacked worden (althans, apache) op deze manier:

29 "POST http://xxxxxxxxxxxxx/roundcube/bin/html2text.php HTTP/1.0"
29 "POST http://xxxxxxxxxxxxx/roundcube/bin/html2text.php HTTP/1.0"

Met de nieuwste roundcube versies. Deze VM heeft ook nog nooit een oude gehad (want hij is helemaal niet).

Wat mij betreft reden genoeg om 'm te trashen.

het is open source hè, dus je zou een bug kunnen filen of een patch kunnen maken