Roundcube Webmail のクロスサイトスクリプティングの脆弱性（CVE-2020-13965）

何が起きた

Web メールのソフト Roundcube Webmail に、クロスサイトスクリプティング（XSS）の弱点が見つかりました。プレビューできるファイルの種類に text/xml が含まれていたため、細工した XML の添付ファイルを通じて、不正なスクリプトを動かされるおそれがあります。ネットワーク経由で、ログインしていない攻撃者でも悪用できますが、被害者が何らかの操作をする必要があります。実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Roundcube Webmail の 1.3.12 より前、および 1.4 系の 1.4.5 より前を使っている人・組織が対象です。

何をすればいい

Roundcube は 1.4.5 と 1.3.12 でこの問題を直し、すべての本番環境を更新するよう強くすすめています。1.4.5 以降、または 1.3.12 以降に更新されているか確認してください。あわせて公式の案内を確認してください。

やることチェックリスト

• Roundcube を 1.4.5 以降に更新する
• 1.3 系なら 1.3.12 以降に更新する
• 知らない相手からの XML の添付ファイルを開かない

用語メモ

クロスサイトスクリプティング（XSS）

Web ページに不正なスクリプトを紛れ込ませ、見た人のブラウザで動かす攻撃です。

XML

データを決まった形で書き表すためのファイル形式の1つです。

プレビュー

ファイルを開く前に、中身を画面で簡単に表示する機能です。