IceWarp Security Update pro EPOS verze

IceWarp vydal kritickou bezpečnostní aktualizaci, která řeší zranitelnost objevenou během našich pravidelných bezpečnostních auditů. Tento problém mohl potenciálně vést k odhalení uživatelských přihlašovacích údajů prostřednictvím funkce Registrace (Sign-up) a doporučujeme aktualizaci aplikovat co nejdříve.

JAK TO FUNGUJE

Nový build kontroluje váš systém na přítomnost indikátorů možného úniku přihlašovacích údajů a automaticky aktivuje nastavení zásad hesel. Pokud budou zjištěny jakékoli známky kompromitace, všechna uživatelská hesla budou nuceně vyexpirována a uživatelé budou při příštím přihlášení do WebClientu vyzváni k vytvoření nového hesla.

V případě, že nebudou zjištěny žádné indikátory úniku, důrazně doporučujeme resetovat hesla všech uživatelů prostřednictvím WebClientu. Toto důležité preventivní opatření pomáhá snížit riziko neoprávněného přístupu pomocí přihlašovacích údajů, které mohly být kompromitovány.

Build zajišťuje, že:

• Nastavení funkce Registrace (Sign-up) je opraveno
• Nastavení zásad hesel je aktivováno
• Veškeré potenciálně škodlivé spustitelné účty (Executables) jsou odstraněny

VERZE

Důrazně doporučujeme aktualizovat vaši instanci IceWarp co nejdříve na následující verze:

• IceWarp Epos Update 3: Nejprve použijte skript a poté co nejdříve aktualizujte na verzi 14.3.0.7 nebo novější.
• IceWarp Epos Update 2: Nejprve použijte skript a poté co nejdříve aktualizujte na verzi 14.2.0.15 nebo novější.
• IceWarp Epos Update 1: Nejprve použijte skript a poté co nejdříve aktualizujte na verzi 14.1.0.21 nebo novější.
• IceWarp Epos, Deep Castle a starší: Nejprve použijte skript a poté co nejdříve aktualizujte alespoň na verzi 14.1.0.21 nebo novější.

Pokud máte jakýkoli důvod k návratu na starší verzi (downgrade) IceWarp, postupujte podle těchto pokynů:

• Jak vrátit aktuální verzi na předchozí hlavní verzi

Pokud aktualizaci provádíte sami, nezapomeňte zálohovat celý server a aktualizovat verze postupně podle pokynů uvedených v těchto článcích:

• Upgrade na EPOS z předchozích verzí na Linuxu
• Upgrade na EPOS z předchozích verzí ve Windows

Pokud si na instalaci sami netroufáte, neprodleně kontaktujte náš tým podpory na vulnerability@icewarp.com.

KE STAŽENÍ

• EPOS Update 3 (14.3.0.8) pro RHEL9, RHEL8 a Windows + administrační konzole
• EPOS Update 2 (14.2.0.16) pro RHEL9, RHEL8 a Windows + administrační konzole
• EPOS Update 1 (14.1.0.22) pro RHEL9, RHEL8, RHEL7 a Windows + administrační konzole
• SKRIPT pro EPOS, Deep Castle a starší verze – Linux a Windows

SKRIPT

Jako dočasné řešení pro starší verze (platné pro všechny verze IceWarp běžící na Windows nebo Linuxu) použijte níže uvedený skript nebo zvažte co nejrychlejší aktualizaci na novější verzi.

Pokud je server již aktualizován na verzi 14.1.0.21, 14.2.0.15, 14.3.0.7 nebo novější, skript není potřeba spouštět.

Skript zajišťuje:

• deaktivaci Funkce Registrace (Sign-up)
• úpravu settings.xml a filesystem.php

Skript nezajišťuje:

• nastavení zásad hesel
• neodstraňuje případné škodlivé spustitelné účty

ČASTO KLADENÉ OTÁZKY (FAQ)

• Co se stalo?
  V rámci našich pravidelných bezpečnostních auditů jsme obdrželi hlášení upozorňující na zranitelnost s vysokou závažností. Funkce Registrace (Sign-up) v IceWarp mohla potenciálně umožnit útočníkovi získat uživatelské přihlašovací údaje.
• Koho se problém týkal?
  Dopad mohl mít jak na cloudové (Cloud), tak na lokálně provozované (On-Premises) instance. Aktualizace již byla nasazena v Cloud prostředí a verze pro On-Premises je k dispozici ke stažení výše.
• Které verze IceWarpu jsou zasaženy?
  Problém se týká všech verzí IceWarp EPOS, Deep Castle a starších verzí, včetně nejnovějšího vydání.
• Ovlivňuje zranitelnost Windows nebo Linux?
  Zranitelnost se týká obou operačních systémů.
• Jaká nápravná opatření byla přijata?
  Byla připravena a distribuována bezpečnostní aktualizace našim partnerům a zákazníkům společně s instalačními pokyny pro novou verzi (On-Premises). V cloudovém prostředí byla tato aktualizace již nasazena ve všech instancích.
• Jak bude oprava distribuována?
  Aktualizace bude distribuována prostřednictvím odkazu na znalostní bázi (KB), který bude přiložen v e-mailu. Příjemci nebudou muset vyhledávat žádné další soubory ani informace. Veškeré potřebné instalační pokyny a doprovodné informace budou uvedeny v KB článku.
• Jak plánujete předcházet podobným incidentům v budoucnu?
  Takovým incidentům nelze zcela zabránit. Budeme však i nadále provádět pravidelné bezpečnostní audity a zavádět častější aktualizace a bezpečnostní opravy, abychom proaktivně řešili potenciální zranitelnosti.