Roundcube Webmail のSQLインジェクションの脆弱性（CVE-2021-44026）

何が起きた

ウェブブラウザでメールを読み書きできる Roundcube Webmail で、検索に使う値（search や search_params）を通じて、データベースへの命令を不正に操作される可能性がある弱点（SQL インジェクション）が見つかりました。Roundcube は、セッションの値を通じた SQL インジェクションの可能性を修正したと説明しています。NVD の評価では、ネットワーク経由で、権限も利用者の操作もなしに悪用できます。実際に悪用されたことも確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Roundcube Webmail を動かしている組織が対象です。1.3.17 より前の版と、1.4.x の 1.4.12 より前の版が影響を受けます。

何をすればいい

1.4.x を使っている場合は 1.4.12 以降、1.3.x を使っている場合は 1.3.17 以降に更新されているか確認してください。Roundcube の公式の案内を確認し、更新の前にはデータのバックアップを取ります。

やることチェックリスト

• 1.4.x は 1.4.12 以降に更新する
• 1.3.x は 1.3.17 以降に更新する
• 更新の前にデータのバックアップを取る

用語メモ

SQL インジェクション 用語集で見る

入力欄などにデータベースへの命令をまぎれこませ、データを不正に読み出したり書きかえたりする攻撃です。

データベース 用語集で見る

たくさんのデータを整理してしまっておき、すばやく取り出せるようにするしくみです。

バックアップ 用語集で見る

データが消えたり壊れたりしたときのために、別の場所にとっておく写しです。