CVE-2020-35730

IMMEDIATE ACTIONS:

1. Identify all Roundcube installations in your environment and document versions

2. Disable Roundcube webmail access temporarily if patching cannot be completed within 24 hours

3. Review email logs for suspicious link patterns or JavaScript injection attempts

4. Alert users not to click links in emails from untrusted sources



PATCHING:

1. Update Roundcube to version 1.4.9 or later (1.3.x users update to 1.3.15)

2. Apply patches to rcube_string_replacer.php linkref_addinindex function

3. Test patches in staging environment before production deployment

4. Restart webmail services after patching



COMPENSATING CONTROLS (if immediate patching impossible):

1. Implement Web Application Firewall (WAF) rules to block JavaScript in email link references

2. Enable Content Security Policy (CSP) headers to restrict script execution

3. Disable HTML email rendering, enforce plain text only

4. Implement email gateway filtering for suspicious link patterns



DETECTION:

1. Monitor rcube_string_replacer.php for error logs indicating XSS attempts

2. Search email logs for patterns: javascript:, onerror=, onclick= in link href attributes

3. Monitor user sessions for unusual activity post-email opening

4. Enable Roundcube debug logging to capture malicious payloads

الإجراءات الفورية:

1. تحديد جميع تثبيتات Roundcube في بيئتك وتوثيق الإصدارات

2. تعطيل وصول Roundcube مؤقتاً إذا لم يتمكن من إكمال التصحيح في غضون 24 ساعة

3. مراجعة سجلات البريد الإلكتروني للأنماط المريبة أو محاولات حقن JavaScript

4. تنبيه المستخدمين بعدم النقر على الروابط في رسائل البريد من مصادر غير موثوقة



التصحيح:

1. تحديث Roundcube إلى الإصدار 1.4.9 أو أحدث (مستخدمو 1.3.x يحدثون إلى 1.3.15)

2. تطبيق التصحيحات على وظيفة linkref_addinindex في rcube_string_replacer.php

3. اختبار التصحيحات في بيئة التجريب قبل نشر الإنتاج

4. إعادة تشغيل خدمات البريد الإلكتروني بعد التصحيح



الضوابط البديلة (إذا كان التصحيح الفوري مستحيلاً):

1. تنفيذ قواعد جدار حماية تطبيقات الويب (WAF) لحظر JavaScript في مراجع روابط البريد

2. تفعيل رؤوس سياسة أمان المحتوى (CSP) لتقييد تنفيذ البرامج النصية

3. تعطيل عرض البريد الإلكتروني بصيغة HTML، فرض النص العادي فقط

4. تنفيذ تصفية بوابة البريد الإلكتروني للأنماط المريبة



الكشف:

1. مراقبة rcube_string_replacer.php لسجلات الأخطاء التي تشير إلى محاولات XSS

2. البحث في سجلات البريد عن الأنماط: javascript:, onerror=, onclick= في سمات href للروابط

3. مراقبة جلسات المستخدم للنشاط غير المعتاد بعد فتح البريد

4. تفعيل تسجيل تصحيح أخطاء Roundcube لالتقاط الحمولات الضارة