Roundcube Webmail のリモートコード実行の脆弱性（CVE-2020-12641）

何が起きた

ウェブメールの Roundcube Webmail の rcube_image.php で、画像の処理に使う設定（im_convert_path や im_identify_path）に特別な記号をまぜると、攻撃者が好きな命令を実行できてしまう弱点が見つかりました。NVD の評価では、ネットワーク経由で、権限も利用者の操作もなしに悪用できます。一方、Roundcube は、この弱点は Roundcube のインストーラーが外から使える状態の環境だけに影響すると説明しています。実際に悪用されたことも確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Roundcube Webmail を動かしている組織が対象です。NVD の説明では、1.4.4 より前の版が影響を受けます。Roundcube は、1.4.4 とあわせて 1.3.11 と 1.2.10 も修正版として出しています。

何をすればいい

使っている系列に合わせて、1.4.4 以降、1.3.11 以降、1.2.10 以降に更新されているか確認してください。Roundcube の公式の案内を確認します。Roundcube は、インストーラーを外から使える状態は危険が大きいと説明しています。

やることチェックリスト

• 1.4.x は 1.4.4 以降に更新する
• 1.3.x は 1.3.11、1.2.x は 1.2.10 以降にする
• 運用中のすべての環境を更新する

用語メモ

インストーラー 用語集で見る

ソフトウェアを入れたり初期設定をしたりするための画面やプログラムです。

rcube_image.php

Roundcube の中で、画像の処理を受け持つプログラムのファイルです。