Perché Ferrumail non mostrerà mai l'anteprima degli allegati

📅 9 Febbraio 2026 ✍️ Ferruccio Zamuner 🏷️ Security, Design, Philosophy ⏱️ 15 min lettura

Negli ultimi tre anni, oltre 25 vulnerabilità critiche nei client email sono legate alla preview degli allegati. Ferrumail fa una scelta netta: nessuna anteprima. Mai. Ecco perché.

Perché Ferrumail non mostrerà mai l’anteprima degli allegati

La preview degli allegati è la porta d’ingresso preferita dagli attaccanti

Nell’ultimo triennio (2023–2025), oltre 25 vulnerabilità critiche nei principali client email sono state legate direttamente alla funzionalità di anteprima degli allegati. Molte di queste permettono l’esecuzione di codice arbitrario senza alcuna interazione dell’utente - basta ricevere e visualizzare l’email.

Ferrumail fa una scelta netta: nessuna anteprima degli allegati. Mai.

Questa non è una limitazione temporanea o una funzionalità “coming soon”. È una decisione architettuale deliberata che mette la sicurezza davanti alla comodità apparente.

Il problema non riguarda solo i webmail

Quando si parla di vulnerabilità negli allegati email, si tende a pensare solo ai webmail come Roundcube o Outlook Web. Sbagliato.

Il problema è sistemico e colpisce:

Ogni volta che un client email decide di “essere comodo” e mostrare l’anteprima di un PDF, un’immagine, un documento Office o qualsiasi altro allegato, crea una superficie di attacco.

I numeri parlano chiaro

Microsoft Outlook (Desktop e Web)

CVE-2025–21298 (Gennaio 2025)

CVE-2024–21413 (Febbraio 2024)

CVE-2025–30377 (Maggio 2025)

CVE-2023–23397 (Marzo 2023)

Roundcube Webmail

CVE-2025–49113 (Giugno 2025)

CVE-2024–42009 (Agosto 2024)

CVE-2024–42008 (Agosto 2024)

CVE-2024–37384 (2024)

CVE-2020–13965 (Giugno 2020)

Horde Webmail

CVE-2022–30287 (Giugno 2022)

CVE precedenti (Febbraio 2022)

Client Desktop: stessa storia

Thunderbird

Thunderbird ha avuto numerose vulnerabilità legate al rendering di allegati, specialmente:

Apple Mail

Microsoft Outlook Desktop

Oltre ai CVE web già citati, Outlook desktop ha l’aggravante di:

App Mobile: l’anello più debole

Le app mobile sono particolarmente vulnerabili perché:

  1. Librerie di rendering di sistema: Usano i framework nativi iOS/Android per aprire i file
  2. Memoria limitata: Più prone a buffer overflow e use-after-free
  3. Auto-download: Molte scaricano automaticamente gli allegati per la “comodità”
  4. Background processing: Alcune processano gli allegati in background per indicizzazione

Esempi storici:

Perché succede? La complessità del rendering

Mostrare l’anteprima di un allegato significa:

  1. Parsare il formato del file (PDF, DOCX, JPEG, SVG, etc.)
  2. Convertire il contenuto in qualcosa che il browser/app può renderizzare
  3. Renderizzare usando engine complessi (Blink, WebKit, GDI+, Cairo, etc.)
  4. Sanificare il contenuto per rimuovere payload malevoli

Ognuno di questi step è una potenziale vulnerabilità:

Esempio reale (CVE-2024–42009 in Roundcube):

Email HTML → Parser → Sanitizer → POST-PROCESSING → XSS
                                   ↑
                            Qui avveniva il "de-sanitization"

Il post-processing HTML per “migliorare la compatibilità” reintroduceva tag pericolosi già rimossi.

La scelta progettuale di Ferrumail

Ferrumail adotta il principio “security by design”:

❌ Cosa NON faremo MAI:

✅ Cosa facciamo invece:

  1. Metadati chiari: Nome file, dimensione, tipo MIME (dichiarato dal mittente)
  2. Warning espliciti: Icona di alert per tipi di file potenzialmente pericolosi
  3. Download esplicito: L’utente deve cliccare deliberatamente “Scarica”
  4. Hash del file: SHA-256 dell’allegato per verifica integrità
  5. Audit trail (Goal 4 - Corporate): Log di chi ha scaricato cosa e quando

Esempio UI Ferrumail:

┌───────────────────────────────────────────────────┐
│ ⚠️  Allegato: relazione-2024.pdf                  │
│                                                   │
│ Dimensione: 2.3 MB                                │
│ Tipo: application/pdf                             │
│ SHA-256: a3f7b9c1d8e4...                          │
│                                                   │
│ ⚠️  Gli allegati non vengono visualizzati         │
│    in anteprima per motivi di sicurezza.          │
│    Scarica solo file da mittenti fidati.          │
│                                                   │
│         [ Scarica allegato ]                      │
└───────────────────────────────────────────────────┘

“Ma è scomodo!”

Lo sappiamo. E non ce ne frega niente.

La comodità che porta a CVE-2025–21298 (zero-click RCE) non è una feature, è una scelta di compromesso che fa diventare il tuo email client il vettore preferito per ransomware, spyware e compromissioni aziendali.

Confronto onesto:

Con preview:

  1. Ricevi email
  2. Vedi preview automatica
  3. ??? → Sei compromesso

Con Ferrumail:

  1. Ricevi email
  2. Vedi metadati allegato
  3. Decidi consapevolmente se scaricare
  4. Il tuo antivirus ha la possibilità di scansionare il file scaricato
  5. Tu apri il file nel viewer di tua scelta (che puoi mantenere aggiornato indipendentemente)

Trasparenza radicale

Ferrumail non nasconde le proprie limitazioni tecniche dietro false promesse di sicurezza.

Non promettiamo:

Promettiamo:

Se un domani scopriremo che mostrare l'estensione del file è vulnerabile (CVE-YYYY-XXXXX: “Extension Spoofing leads to RCE”), rimuoveremo anche quella e mostreremo solo un hash.

Per gli amministratori di sistema

Se gestite server mail aziendali, sapete già che:

Ferrumail offre:

Esempio: CVE-2020–12641 in Roundcube (command injection via ImageMagick):

# Vulnerabilità storica: parametri shell non escaped
system("convert $user_file output.png")

# Con filename: "file.jpg; rm -rf /var/www"
# Risultato: 💥

Ferrumail non chiama mai programmi esterni per processare allegati.

Sezione tecnica: cosa evitiamo

Librerie di rendering che NON useremo:

Tecnologie che useremo:

Architettura sicura:

Email arrives → IMAP fetch → MIME parse → Extract metadata
                                              ↓
                                         Store in DB:
                                         - filename
                                         - size
                                         - content_type (untrusted)
                                         - sha256
                                              ↓
                                         User clicks "Download"
                                              ↓
                                         Stream raw bytes to user
                                              ↓
                                         User's responsibility

Mai tocchiamo il contenuto dell’allegato. Mai lo interpretiamo.

Filosofia: Honest Security

Ferrumail si basa su tre principi:

1. Minimal Privilege

Il webmail non ha bisogno di “capire” cosa c’è dentro un PDF. Ha bisogno di:

2. Explicit Trust

Ogni azione rischiosa richiede conferma esplicita:

3. Fail Secure

Se qualcosa non funziona:

Roadmap: cosa faremo invece

Invece di investire mesi in “preview sicure” (che non esistono), investiremo in:

Goal 3 - AI Integration:

Goal 4 - Corporate:

Integrazione futura (Post-Goal 4):

Confronto con i competitor

Feature Roundcube Outlook Web Horde Ferrumail
Preview PDF ✅ (insicuro) ✅ (insicuro) ✅ (insicuro) ❌ (by design)
Preview immagini ✅ (CVE-prone) ✅ (CVE-prone) ✅ (CVE-prone) ❌ (by design)
Conversion docs ✅ (LibreOffice) ✅ (Office Online) ✅ (problemi) ❌ (mai)
CVE ultimi 3 anni 15+ 8+ 5+ (non più mantenuto) 0 (non esiste ancora, ma architettura sicura)
Sfruttato da APT ✅ ✅ ✅ N/A
Zero-click RCE ✅ ✅ ✅ Impossibile by design
Codice auditabile ✅ (PHP) ❌ (closed) ✅ (PHP) ✅ (Rust)
Security-first ❌ ❌ ❌ ✅

Cosa significa per l’utente finale

Se sei un utente Ferrumail:

✅ Ottieni:

❌ NON ottieni:

💡 Invece ottieni:

Conclusione: La sicurezza non è negoziabile

Ferrumail esiste perché:

  1. Roundcube ha 15+ CVE in 3 anni, molti legati a preview
  2. Horde è abbandonato con zero-day critici non patchati
  3. Outlook ha vulnerabilità zero-click ogni 6–12 mesi
  4. Gli utenti meritano onestà, non false promesse

La preview degli allegati è incompatibile con un’architettura sicura. Non è una questione di “farlo bene” - è che non può essere fatto in modo sicuro.

Ogni parser è una vulnerabilità. Ogni converter è una catena di fiducia. Ogni rendering engine è una superficie di attacco.

Ferrumail sceglie zero parser, zero converter, zero rendering.

Unisciti al progetto

Ferrumail sarà lanciato su Kickstarter nel 2026.

Se credi che la sicurezza debba venire prima della comodità apparente, se sei stanco di webmail pieni di CVE, se vuoi un’alternativa onesta e trasparente:

👉 Iscriviti alla mailing list per essere avvisato del lancio

👉 Segui su GitHub per vedere il codice

Link utili:

Ferrumail: Webmail sicuro by design. Rust + Leptos + Onestà.

Licenza: Artistic License 2.0
Codice: Aperto dal giorno 1
Privacy: Self-hosted, i tuoi dati restano tuoi
Sicurezza: Non negoziabile

Articolo pubblicato il 9 Febbraio 2026 da Ferruccio Zamuner
©2026 - Ferruccio Zamuner - nonsolosoft.com
Ultima modifica: 9 Febbraio 2026