MDaemon Email Server のクロスサイトスクリプティングの脆弱性（CVE-2024-11182）

何が起きた

MDaemon Email Server に、クロスサイトスクリプティング（XSS）の弱点が見つかりました。攻撃者が img タグに JavaScript を仕込んだ HTML メールを送ると、ウェブメールの利用者のブラウザの中で任意の JavaScript を読み込ませられるおそれがあります。ネットワーク経由で、権限を持たない攻撃者が悪用できますが、被害者がメールを見るなどの操作が必要です。実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

MDaemon Email Server のウェブメールを使っている組織や利用者が対象です。MDaemon の重要な更新の案内では、サポート中の 22.0.0 から 24.5.0 までと、サポートが終わった 20.0.0 より前のバージョンが影響を受けるとされています。NVD の説明では 24.5.1c より前、CVE の記録では 24.5.0 までが影響を受けるとされています。

何をすればいい

MDaemon は、使っている版に合った更新版を入れるよう案内しています。NVD の説明に合わせ、24.5.1c 以降に更新されているか確認してください。サポートが終わった古い版を使っている場合、MDaemon はライセンスを更新してサポート中の版へ上げることを強く勧めています。あわせて MDaemon の公式の案内を確認してください。

やることチェックリスト

• MDaemon のバージョンを調べる
• 24.5.1c 以降に更新する
• サポート切れの版はサポート中の版へ上げる

用語メモ

クロスサイトスクリプティング（XSS）

ウェブページに不正なスクリプトを紛れ込ませ、見た人のブラウザで動かしてしまう攻撃です。

img タグ

HTML で画像を表示するための書き方です。

ウェブメール

専用のソフトを使わず、ブラウザでメールを読み書きできる仕組みです。