Roundcube Webmail のクロスサイトスクリプティングの脆弱性（CVE-2024-42009）

何が起きた

Web ブラウザーでメールを読み書きできる Roundcube Webmail に、クロスサイトスクリプティング（悪いスクリプトを画面に紛れ込ませる攻撃）の弱点が見つかりました。メール本文の表示のために安全な形に整えた内容を、後の処理で再び危険な形に戻してしまう問題があり、攻撃者は細工したメールを使って、被害者のメールを盗んだり送信したりできます。NVD の評価では、ネットワーク経由で、ログイン不要で悪用できる一方、利用者の操作が必要とされています。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Roundcube Webmail を運用している組織と、その利用者が対象です。影響を受けるのは 1.5.7 以前と、1.6.x の 1.6.7 以前のバージョンです。

何をすればいい

Roundcube は、修正版の 1.6.8 と 1.5.8 を公開しています。Roundcube Webmail が 1.6.8 以降（1.5 系なら 1.5.8 以降）に更新されているか確認してください。詳しくは、Roundcube の公式の案内を確認してください。

やることチェックリスト

• Roundcube Webmail のバージョンを確かめる
• 1.6 系は 1.6.8 以降に更新する
• 1.5 系は 1.5.8 以降に更新する

用語メモ

クロスサイトスクリプティング

Web ページに悪いスクリプト（小さなプログラム）を紛れ込ませ、見た人のブラウザーで動かしてしまう攻撃です。

Webmail

専用のソフトを使わず、Web ブラウザーからメールを読み書きできる仕組みです。