Roundcubeは、バージョン1.6.19および1.7.4をリリースし、同社のWebメールプラットフォームに存在した12件のセキュリティ脆弱性に対応しました。ゼロクリックで発火する永続的クロスサイトスクリプティング(XSS)の欠陥に加え、CSSプロキシコンポーネントにおけるサーバーサイドリクエストフォージェリ(SSRF)対策の回避も修正対象に含まれています。
2026年9月6日に公開された今回のアップデートは、サポート対象のRoundcube 1.6.x系長期サポート(LTS)環境と1.7.x系の導入環境に影響します。
Roundcubeプロジェクトは、本番システムの速やかなアップデートを管理者に強く呼びかけています。今回の修正には、攻撃者がコンテンツ制限を回避したり、悪意あるHTMLやCSSを注入したり、メールヘッダーを改ざんしたり、意図しない内部リソースにアクセスしたりできてしまう脆弱性への対応が複数含まれているためです。
最も重大な問題は、添付ファイルのURLにTNEF MIMEタグを注入することで発生する、ゼロクリック型の永続的XSS脆弱性です。TNEF(Transport Neutral Encapsulation Format)は、Microsoftのメール添付ファイル形式で、一般に「winmail.dat」ファイルとして知られています。
悪意あるメールには、細工されたMIMEメタデータを埋め込むことが可能で、受信者が該当メッセージや添付ファイルのインターフェースにアクセスした際に、攻撃者が制御するスクリプトコンテンツが保存・実行される恐れがあります。
この脆弱性は、悪意あるリンクを被害者がクリックする必要がない場合があるため、Webメール上でのアカウント乗っ取りやセッション窃取、不正操作のリスクを高めます。
Roundcubeはまた、リモートのスタイルシートリソースを取得・サニタイズするために設計されたCSSプロキシにおいて、SSRF対策の回避を修正しました。この回避手法は、IPv4アドレスをIPv6にマッピングした16進数表記を利用するものでした。
攻撃者はこうした別形式のアドレス表記を悪用することで、ホスト名やIPベースのフィルタリング制御を回避し、Roundcubeサーバーに対して、内部サービスを含む本来アクセスが禁じられているリソースへのリクエストを発行させることが可能でした。
SSRFの脆弱性は、Webメール環境において特に深刻です。サーバーが外部の攻撃者からは本来アクセスできないはずのネットワークレベルのアクセス権を持っている場合があるためです。今回追加された修正の中には、コンテンツのレンダリングやリモートコンテンツ保護に関するものも複数含まれています。
今回のリリースでは、アンパサンドがエンコードされずに出力されることに起因するCSS宣言のスマグリング(密輸)の問題と、HTML本文のbackground属性を通じたCSSプロパティ注入の問題も修正されています。
さらにRoundcubeは、末尾にドットが付いた完全修飾ドメイン名(FQDN)を用いたスタイルシートURL検証の回避についても対応しました。リモートコンテンツのブロック機能に関しては、3件の修正が行われています。
1件目はFuncIRI属性内でのCSSエスケープに対応するもの、2件目はSVGのSMILによるソースアニメーション手法を用いてリモートコンテンツ制限を回避される問題を防ぐもの、そして3件目はURL検証の動作に関するものです。
これらの問題は、メールに埋め込まれたリモートリソースが受信者の行動を露呈させたり、IPに関連するメタデータを漏洩させたり、メッセージ閲覧時に追跡を可能にしたりする恐れがあるため、重要な意味を持ちます。
今回のアップデートでは、text/enrichedのMIMEコンテンツを処理する際にHTMLエディタで発生していたXSSの問題も解決されています。
また、SQLアドレス帳における連絡先グループメンバーの追加・削除に関して、ユーザーをまたいだ権限管理の不備も修正されました。これにより、共有された、あるいは適切にスコープ管理されていない連絡先データに対する不正な変更を防止できます。
メールヘッダーインジェクションの脆弱性も3件修正されています。これらの欠陥は、メッセージの件名に含まれる単独のキャリッジリターン文字、受信者の表示名に含まれるCスタイルの\rエスケープ、そしてID(アイデンティティ)の組織名フィールドに細工された値を挿入するというものでした。
ヘッダーインジェクションは、特定のワークフローにおいて、メッセージの改ざんや受信者のなりすまし、攻撃者が制御するメールヘッダーの挿入を引き起こす可能性があります。
Roundcubeは、Horizon3.ai、Zenith Hosting、CVE-Hunter-Leo、dogeshark、Joshua Rogers氏、nept1337、Wahab KHADIR氏、faceless0x7、Harish Annavisamy氏らをはじめとする研究者たちに対し、これらの問題を責任ある形で報告してくれたことに謝意を示しています。
管理者は、影響を受けるRoundcube 1.6.x系の環境をバージョン1.6.19に、Roundcube 1.7.x系の環境をバージョン1.7.4にそれぞれアップグレードした上で、プロキシ、リモートコンテンツ、アドレス帳、HTML作成に関する設定に不正利用の痕跡がないか確認することが推奨されます。
セキュリティチームに、不審な活動を迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化
翻訳元: https://cyberpress.org/roundcube-patches-12-webmail-flaws/