ウェブメール「Roundcube」に脆弱性 - ゼロデイ攻撃で判明
オープンソースのウェブメールクライアント「Roundcube」に脆弱性が明らかとなった。すでに悪用が確認されており、最新版へアップデートするよう呼びかけられている。
HTMLメールに含まれるSVGドキュメントの処理に格納型クロスサイトスクリプティング(XSS)の脆弱性「CVE-2023-5631」が明らかとなったもの。細工されたメールをブラウザ上で表示すると任意のスクリプトを実行されるおそれがある。
開発チームでは、現地時間10月16日に同脆弱性を修正した「同1.6.4」「同1.5.5」「同1.4.15」をリリース。最新版へアップデートするよう呼びかけた。
同脆弱性のCVE番号は、脆弱性を報告したESETが採番したもので、同社は共通脆弱性評価システム「CVSSv3.1」のベーススコアを「6.2」、重要度を「中(Medium)」と評価している。
同社によると、攻撃グループ「Winter Vivern」が、ゼロデイ攻撃に同脆弱性を用いていたのを発見したもので、現地時間10月12日に「Roundcube」の開発チームへ報告したという。
(Security NEXT - 2023/10/27 )
ツイート
PR
関連記事
アクセス制御機能の研究開発情報を募集開始 - 政府
米当局、Qualcomm製チップやApple製品の脆弱性狙う攻撃に注意喚起
「Adobe ColdFusion」の脆弱性、米行政機関で2件の侵害被害
サイバー攻撃の情報共有で報告書 - 関連文書のパブコメも
支援関連の契約書や重説を紛失、誤廃棄か - 広島市こども療育センター
医師の個人情報含むファイルをメールで誤送信 - 北海道
WordPress用フォーム作成プラグインに脆弱性 - 早急に更新を
「楽々Document Plus」に脆弱性に脆弱性 - 修正パッチがリリース
プロキシサーバ「Squid」にサービス拒否の脆弱性
BIツール「Apache Superset」に脆弱性 - アップデートで修正