インシデントアラート
検索
脆弱性修正版あり公表

Roundcubeに複数の欠陥　メール処理やパスワード変更機能を修正

WebメールのRoundcubeが1.6.20と1.7.5を公開。運用中の1.6・1.7系列の利用者に更新を強く推奨しています。

対象となる人

Roundcube Webmailの1.6・1.7系列を運用する管理者。利用者側ではメールサービスの提供元が更新を担当する場合があります。1

今すべきこと

公式の案内

管理者は1.6.20・1.7.5以降の対応版へ更新してください。サービス利用者は、提供元の対応案内を確認してください。1

初回公表
参照情報の更新
当サイトの確認
#Roundcube#Webメール#パスワード#SSRF

押さえたい、3つのポイント

  1. メール処理などの複数の問題を修正

    IMAPへの不正な命令や、外部アクセスを制限する仕組みの回避などに対処しています。1

  2. 特定機能では他人のパスワードに影響

    パスワード変更用のModoboaドライバーには、別アカウントのパスワードを変更できる問題がありました。この機能を使う環境の問題です。1

  3. 1.6.20・1.7.5を公開

    開発元は、運用中の1.6.x・1.7.x環境に更新を強く推奨しています。1

公式ソースを確認する

𝕏 でシェア

もう少し詳しく

既に悪用された？
確認した開発元の発表には、実際の悪用や被害件数の記載はありません。修正版の公開を被害発生として数えません。1

発表時点の修正版です。サポート終了版を安全と判断する材料にはなりません。メール利用者全員のパスワードが漏れたという発表ではありません。

あわせて読みたい