Roundcubeはセキュリティアップデート1.6.19および1.7.4をリリースし、1.6 LTSおよび1.7 Webmailブランチに影響する12件の脆弱性に対処しました。
Securityscans service
今回の脆弱性には、ゼロクリックで発動する保存型クロスサイトスクリプティング（XSS）脆弱性のほか、リモートコンテンツフィルタリングの複数のバイパス、メールヘッダーインジェクションの不具合、ユーザー間の連絡先アクセス問題、サーバーサイドリクエストフォージェリ（SSRF）バイパスなどが含まれます。
2026年9月6日に公開された今回のアップデートでは、RoundcubeのHTMLメールレンダリング、CSSサニタイズ、添付ファイル処理、アドレス帳機能、URL検証ロジックに存在する脆弱性が修正されています。
Roundcube 1.6.xまたは1.7.xを本番環境で運用している管理者は、できるだけ早くアップグレードすることが推奨されます。
Roundcubeが修正した12件のセキュリティ脆弱性
最も重大な修正の一つが、添付ファイルURLへのTNEF MIMEタグの注入に関わるゼロクリックの保存型XSS脆弱性です。この問題はセキュリティ研究者のNakko氏が報告しました。
保存型XSS脆弱性は、悪意のあるコンテンツがメールボックス内に残り続け、被害者が細工されたメールを開いたりプレビューしたりした際に発動するため、Webメールアプリケーションにおいて特に懸念されます。
この脆弱性はゼロクリックである点がリスクをさらに高めています。悪用にあたって受信者が悪意のあるリンクをクリックしたり添付ファイルをダウンロードしたりする必要がないためです。
Roundcubeはまた、text/enriched MIMEパートのコンテンツを処理する際にHTMLエディタで発生するXSS脆弱性も修正しました。この問題はJoshua Rogers氏が報告しています。両方の脆弱性により、セッション情報の窃取、Webメール環境での悪意あるスクリプトの実行、認証済みアカウントを通じた不正操作といった被害を利用者が受ける可能性がありました。
複数のパッチが、CSS処理およびリモートコンテンツ保護に関わるバイパスに対処しています。Roundcubeは、エンコードされていないアンパサンドの出力に起因するCSS宣言スマグリングの問題を修正しました。この問題はHorizon3.aiのZach Hanley氏が報告しています。
さらに、今回のアップデートではHTMLボディのbackground属性を通じたCSSプロパティインジェクション脆弱性も解消されています。
今回のリリースでは、`is_local_url()`関数におけるスタイルシートURL検証のバイパスも修正されました。この脆弱性は、末尾にドットを付けた完全修飾ドメイン名（FQDN）を使うことでローカルURLチェックを回避できるというもので、研究者のNept1337氏が報告しています。
このほかの修正により、FuncIRI属性やSVG SMILのsrcアニメーションにおけるCSSエスケープを通じてリモートコンテンツブロッカーを回避される問題も防がれています。
リモートコンテンツのフィルタリングは、Webメールクライアントにおいて極めて重要です。攻撃者が制御するリモートリソースを悪用すれば、メールの開封状況の追跡や受信者のIPアドレスの特定、あるいは標的型フィッシング活動の助長につながりかねないためです。
Roundcubeは、16進数表記のIPv6マップIPv4アドレスを利用したCSSプロキシのSSRFバイパスも修正しました。この問題はFaceless0x7氏とHarish Annavisamy氏が報告したもので、細工されたアドレスによってサーバーサイドリクエストを制限するはずのフィルタリング制御を回避される恐れがありました。
SSRF脆弱性は、ホスティング環境や企業環境において重大なリスクをもたらす可能性があります。攻撃者が内部サービスやクラウドのメタデータエンドポイント、その他の制限されたネットワークリソースへのアクセスを試みる恐れがあるためです。
Vulnerabilityassessment tool
さらに、3件のメールヘッダーインジェクション脆弱性も解消されました。これらの問題は、メール件名フィールド内の裸のキャリッジリターン、受信者の表示名に含まれるCエスケープの\rシーケンス、そしてユーザーIDの組織フィールドに関わるものです。件名フィールドの問題はCVE-Hunter-Leo氏が、受信者名および組織フィールドの不具合はDogeshark氏がそれぞれ報告しました。
今回のアップデートでは、SQLアドレス帳における連絡先グループのメンバーシップ操作に存在するユーザー間アクセス脆弱性にも対処しています。この不具合により、ユーザーの垣根を越えて連絡先グループのメンバーへ不正にアクセスされる恐れがあり、Roundcubeを共有環境で運用している場合はプライバシーとデータの完全性に関する懸念が生じます。
Roundcubeは、すべての組織に対し本番環境をバージョン1.6.19または1.7.4へアップデートするよう推奨しています。ベンダーによるセキュリティアップデートの発表には修正内容の全リストが記載されており、関わった研究者への謝辞も述べられています。
SOCを常に最新の状態に保ち、出現から24時間以内に活動中のマルウェアやフィッシングを把握しましょう。 早期検知でインシデントを防ぐANY.RUNを試す。
翻訳元: https://gbhackers.com/roundcube-fixes-12-security-flaws/