Roundcube Webmail のクロスサイトスクリプティングの脆弱性（CVE-2023-5631）

何が起きた

Web でメールを読むソフト Roundcube Webmail に、保存型のクロスサイトスクリプティング（XSS）という弱点が見つかりました。細工した SVG 画像を含む HTML メールを利用者が表示すると、攻撃者が用意した任意の JavaScript が動いてしまいます。攻撃はネットワーク経由で行われ、利用者がメールを開くなどの操作が必要です。実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Roundcube Webmail を運用している組織と、その利用者が対象です。影響を受けるのは 1.4.15 より前、1.5.x の 1.5.5 より前、1.6.x の 1.6.4 より前のバージョンです。

何をすればいい

Roundcube は、1.6 系向けに 1.6.4、長期サポートの 1.5 系と 1.4 系向けに 1.5.5 と 1.4.15 を公開しています。使っている系統の修正版以降に更新されているか確認してください。利用者は、知らない相手からのメールを不用意に開かないよう注意してください。あわせて Roundcube の公式の案内を確認してください。

やることチェックリスト

• 1.6 系は 1.6.4 以降に更新する
• 1.5 系は 1.5.5、1.4 系は 1.4.15 以降にする
• 知らない相手からのメールを不用意に開かない

用語メモ

クロスサイトスクリプティング（XSS） 用語集で見る

Web ページに不正なスクリプトを紛れ込ませ、見た人のブラウザで動かす攻撃です。

SVG 用語集で見る

図形を文字のデータで表す画像の形式で、中にスクリプトを含めることができます。

JavaScript 用語集で見る

Web ページの中で動くプログラムの言語です。