Roundcube Webmail のクロスサイトスクリプティングの脆弱性（CVE-2023-43770）

何が起きた

ウェブメールの Roundcube Webmail に、クロスサイトスクリプティング（XSS）の弱点が見つかりました。テキスト形式のメールに細工したリンクを入れておくと、メールを表示したときに攻撃者の用意した処理が動き、情報が漏れるおそれがあります。この弱点は、実際に悪用されたことが確認されています。ネットワーク経由で、ログインの権限がない攻撃者でも悪用できますが、利用者がメールを開くなどの操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Roundcube Webmail を運用している組織や、そのメールを使っている人が対象です。影響を受けるのは、1.4.14 より前、1.5.x の 1.5.4 より前、1.6.x の 1.6.3 より前のバージョンです。

何をすればいい

使っている系列に合わせて、1.4.14、1.5.4、1.6.3 以降に更新されているか確認します。Roundcube は、更新の前にデータのバックアップを取るよう案内しています。あわせて、Roundcube の公式の案内（リリースの告知）を確認します。

やることチェックリスト

• 1.6.x は 1.6.3 以降に更新する
• 1.5.x は 1.5.4、1.4.x は 1.4.14 以降に更新する
• 更新の前にデータのバックアップを取る

用語メモ

クロスサイトスクリプティング（XSS）

ウェブページに悪意のあるスクリプトを紛れ込ませ、見た人のブラウザーで動かしてしまう攻撃や弱点のことです。

ウェブメール

ブラウザーで読み書きするメールの仕組みです。サーバーに置いたソフトが画面を作ります。

バックアップ

データが壊れたときに戻せるよう、別の場所に写しを取っておくことです。