Roundcube Roundcube Webmail のクロスサイトスクリプティングの脆弱性（CVE-2020-35730）

何が起きた

ウェブメールの Roundcube Webmail に、クロスサイトスクリプティング（XSS）という弱点が見つかりました。攻撃者が、リンクの部分に JavaScript を仕込んだ普通の文字だけのメールを送ると、rcube_string_replacer.php の処理がそれを正しく扱えず、受け取った人の画面で仕込まれた命令が動いてしまいます。NVD の評価では、ネットワーク経由で、権限はいりませんが、利用者がメールを開くなどの操作が必要です。実際に悪用されたことも確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Roundcube Webmail を動かしている組織と、その利用者が対象です。1.2.13 より前の版、1.3.x の 1.3.16 より前の版、1.4.x の 1.4.10 より前の版が影響を受けます。

何をすればいい

使っている系列に合わせて、1.4.10 以降、1.3.16 以降、1.2.13 以降に更新されているか確認してください。Roundcube の公式の案内を確認し、更新の前にはデータのバックアップを取ります。

やることチェックリスト

• 1.4.x は 1.4.10 以降に更新する
• 1.3.x は 1.3.16、1.2.x は 1.2.13 以降にする
• 更新の前にデータのバックアップを取る

用語メモ

クロスサイトスクリプティング（XSS）

ウェブページに不正なスクリプトを仕込み、見た人のブラウザで動かしてしまう攻撃です。

JavaScript

ウェブページの中で動くプログラムの言語です。

バックアップ

データが消えたり壊れたりしたときのために、別の場所にとっておく写しです。