最近の脆弱性 › CVE-2021-44026

Roundcube Roundcube Webmail のSQLインジェクションの脆弱性（CVE-2021-44026）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2021-44026
製品	Roundcube Roundcube Webmail
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2023-06-22
米国政府機関の対応期限	2023-07-13
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-89

何が起きた

ウェブブラウザでメールを読み書きできる Roundcube Webmail で、検索に使う値（search や search_params）を通じて、データベースへの命令を不正に操作される可能性がある弱点（SQL インジェクション）が見つかりました。Roundcube は、セッションの値を通じた SQL インジェクションの可能性を修正したと説明しています。NVD の評価では、ネットワーク経由で、権限も利用者の操作もなしに悪用できます。実際に悪用されたことも確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Roundcube Webmail を動かしている組織が対象です。1.3.17 より前の版と、1.4.x の 1.4.12 より前の版が影響を受けます。

何をすればいい

1.4.x を使っている場合は 1.4.12 以降、1.3.x を使っている場合は 1.3.17 以降に更新されているか確認してください。Roundcube の公式の案内を確認し、更新の前にはデータのバックアップを取ります。

やることチェックリスト

1.4.x は 1.4.12 以降に更新する
1.3.x は 1.3.17 以降に更新する
更新の前にデータのバックアップを取る

用語メモ

SQL インジェクション: 入力欄などにデータベースへの命令をまぎれこませ、データを不正に読み出したり書きかえたりする攻撃です。
データベース: たくさんのデータを整理してしまっておき、すばやく取り出せるようにするしくみです。
バックアップ: データが消えたり壊れたりしたときのために、別の場所にとっておく写しです。

元データ（英語・CISA KEV より）

Roundcube Webmail SQL Injection Vulnerability

概要

Roundcube Webmail is vulnerable to SQL injection via search or search_params.

推奨対応

Apply updates per vendor instructions.