Roundcube Webmail のクロスサイトスクリプティングの脆弱性（CVE-2024-37383）

何が起きた

Roundcube Webmail で、SVG という画像の形式に含まれる animate という属性の扱いに、クロスサイトスクリプティング（XSS）の弱点が見つかりました。攻撃者は、悪意のある JavaScript を利用者のブラウザで動かせるおそれがあります。ネットワーク経由で、ログインしていない攻撃者が悪用できますが、利用者が細工されたメールを開くなどの操作が必要です。実際に悪用されたことも確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Roundcube Webmail を運用している組織と、その利用者が対象です。影響を受けるのは、1.5.7 より前のバージョンと、1.6.x の 1.6.7 より前のバージョンです。

何をすればいい

使っている Roundcube Webmail のバージョンを確認し、1.5 系なら 1.5.7 以降、1.6 系なら 1.6.7 以降に更新されているか確かめてください。詳しくは Roundcube の公式の案内を確認してください。利用者は、知らない相手からのメールを不用意に開かないようにしてください。

やることチェックリスト

• 1.5 系は 1.5.7 以降に更新する
• 1.6 系は 1.6.7 以降に更新する
• 知らない相手からのメールを開かない

用語メモ

クロスサイトスクリプティング（XSS） 用語集で見る

ウェブページに不正なスクリプトを紛れ込ませ、見た人のブラウザで動かす攻撃です。

SVG 用語集で見る

図形を文字で記述する画像の形式で、動きなどの指定も書き込めます。

JavaScript 用語集で見る

ウェブページの中で動く、プログラムを書くための言語です。