Roundcube Webmail の脆弱性（CVE-2017-16651）

何が起きた

メールをブラウザで読むためのソフト Roundcube Webmail に、入力の確かめ方が不十分なため、サーバー上の任意の（攻撃者が選んだ）ファイルを読まれてしまう弱点が見つかりました。CISA によると、標準で使われるファイル型の添付ファイル用プラグインと組み合わさって起きる問題です。メーカーによると、この弱点はゼロデイとして Roundcube の設定ファイルを読むために悪用されていました。NVD の評価では、攻撃は対象の機器上で（ローカル）行われ、一般利用者程度の権限が必要で、被害者の操作は不要とされています。メーカーの発表でも、悪用には有効なユーザー名とパスワードでログインした状態が必要とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Roundcube Webmail を自分のサーバーで動かしている組織や管理者が対象です。CVE の記録によると、1.1.10 より前、1.2.x の 1.2.7 より前、1.3.x の 1.3.3 より前が影響を受けます。

何をすればいい

Roundcube の公式の案内を確認し、1.3.3、1.2.7、1.1.10 のいずれか以降に更新されているか確かめてください。メーカーは、侵入されていないか確かめるため、アクセスログに _action=upload-display と _from=timezone を含む要求がないか調べるよう勧めています。また、データベースや LDAP のアドレス帳など外部サービスの認証情報をすべて変え、できれば設定の des_key も変えるよう案内しています。

やることチェックリスト

• 1.3.3・1.2.7・1.1.10 以降に更新する
• アクセスログで不審な要求の有無を調べる
• データベースなど外部サービスの認証情報を変更する

用語メモ

プラグイン

ソフトに後から機能を付け足すための追加部品のことです。

アクセスログ

サーバーに届いた要求を、日時や内容とともに記録したものです。不審なアクセスを調べるときに使います。

LDAP

利用者やアドレス帳などの情報を、ネットワーク越しに管理・検索するための仕組みです。