Avis Du Certa Sur Les Vuln

[Thierry94]

Bonjour,

Je viens de tomber par hasard sur sur ce lien du CERTA daté du 23/08/2013 intitulé " Multiples vulnérabilités dans Roundcube Webmail"

http://www.certa.ssi.gouv.fr/site/CERTA-2013-AVI-495/CERTA-2013-AVI-495.html

Je ne suis pas du tout familier avec les informations du CERTA ... que je découvre

Comment doit on prendre une telle information ?

Merci de votre éclairage

THierry

[lagaffe]

Bonjour,

C'est bien simple, ce rapport indique que toutes les versions antérieures à la version 0.9.3 sont concernées par les vulnérabilités indiquées.

Donc si tu as une version supérieure ou égale à la version 0.9.3 tu n'est pas touché pas ce qui est mentionné, en d'autre terme si tu as la dernière version en date 0.9.4 t'es tranquille ...

Bon on ne parlera pas de la version officielle fournie par Synology, mainte fois mentionné, complètement obsolète et pleine de trou de sécurité.

[Thierry94]

Bonjour,

Et bien j'ai la version roundcube de Synology avec mail server

Il y a une possibilité de passer à la 0.9.4 avec mail server en conservant le POP 3 ?

Au fait Mail server set il concerné par les problèmes de sécurité ou est ce seulement mail station ?

Modifié le 18 octobre 2013 par Thierry94

[lagaffe]

Bonsoir,

J'avais fait un tuto à l'époque que tu pourras trouver dans la section tutoriel, cependant des personnes d'ici ont fait un package tout prêt donc autant l'utiliser, il est disponible dans le dépôt synocommunity (je suis d'ailleurs entrain de le tester et de tester l'install des plugins).

pour répondre à ta question POP3, oui c'est possible en installant pop3fetcher.

Pour ta deuxième question, MailServer n'étant pas basé sur roundcube c'est seulement MailStation qui est concerné.

[bud77]

Pour info, roundcube est en 0.9.4 sur le repo synocommunity, et celui-ci ne dépend pas de mailstation

Par contre je crois pas que tu puisses "migrer" de l'un à l'autre

[lagaffe]

@bud77, oui c'est bien ce que j'indiquais pour le repository

Non effectivement, ce sont deux versions différentes, d'ailleurs les deux peuvent cohabiter, car d'une part elles n'utilise pas les mêmes bases postgress pour celle d'origine et mysql pour celle du repo, de plus elles ne sont pas installées au même endroit donc aucun risque de conflit .

Par contre les prérequis ne sont pas les mêmes, pour le package du repo, il faut activer bien sûr les services web et mysql.

Mais bon, comme des personnes se "décarcassent" pour créer des packages, autant les utiliser.

[bud77]

Dans le même genre, il y a horde aussi (et zarafa). De quoi combler tout le monde

[lagaffe]

Oui, il y avait même un autre webmail qui était pas mal, mais que je ne pouvais pas installer à l'époque car la version de postgress n'était pas à niveau, mais avec la 4.3, ça a dû évoluer, il faut que je retrouve ça.

[Thierry94]

Bonjour,

Merci à tous pour vos informations ...

Je vais me lancer dans l'installation de Rouncube webmail mais j'ai encore quelques interrogations :

- Roundcube webmail remplace bien mail station ET mail server ?

- Il est à la fois un serveur de mail (smtp pour envoi et réception de mails) et client web d'accès à la messagerie ?

- il gère lui même son stockage des mails indépendamment (pas de réutilisation de mail serveur et pas de récupération des boites mails existantes) ?

- actuellement le smtp mail serveur fait du relais vers le smtp SFR ... cela sera t-il encore possible avec rouncube et comment le paramétrer ?

- existe t-il une documentation sur le paquet de synocommunity

Merci pour votre éclairage ..

Thierry

[lagaffe]

Bonjour,

Non comme je l'ai indiqué plus haut roudcube = MailStation, ce n'est que le webmail et donc pas la partie serveur.

Si tu utilisais le MailStation, tes Emails sont stocké dans la home directory de tes utilisateurs donc cela ne changera rien avec roundcube, tu retrouveras les Email que tu avais avant..

Pour ton relay d'Email SFR, il ne devrait pas y avoir de problème.

@+

[lagaffe]

D'ailleurs au sujet des vulnérabilités, une nouvelle version 0.9.5, vient tout juste de sortir et en corrige encore, donc à prendre en compte à mon avis pour le package synocommunity

[devildant]

bonjour,

je n'avais pas vue le package roundcube 0.9.4, que du bonheur, je n'en pouvais plus de l'interface toute moche de mailstation.

merci

cordialement