Trusted Design

CVE-2017-16651 の詳細

CVEの情報

説明:
Roundcube Webmail before 1.1.10, 1.2.x before 1.2.7, and 1.3.x before 1.3.3 allows unauthorized access to arbitrary files on the host's filesystem, including configuration files, as exploited in the wild in November 2017. The attacker must be able to authenticate at the target system with a valid username/password as the attack requires an active session. The issue is related to file-based attachment plugins and _task=settings&_action=upload-display&_from=timezone requests.

CVE更新日: 2017-11-09 14:29:00.267000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.457420000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2017-16651について、以下の観点で解説します。

1. 脆弱性の概要

Roundcube Webmailに存在するファイル情報漏えいの脆弱性です。認証された攻撃者が、ホストのファイルシステム上の任意のファイル（設定ファイルを含む）に不正にアクセスできる可能性があります。

1.1 影響

この脆弱性が悪用されると、攻撃者は設定ファイルを含むホストのファイルシステム上の任意のファイルに不正にアクセスし、機密情報を窃取する可能性があります。

1.2 深刻度

CVSS v3.1基本評価スコアは7.8で、「High（重要）」と評価されています。この脆弱性は2017年11月に実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性はRoundcube Webmailアプリケーションの脆弱性であり、特定のOSバージョンに限定されるものではありません。

2.2 影響を受ける設定

Roundcube Webmailの以下のバージョンが影響を受けます。

  • Roundcube Webmail 1.1.10より前のバージョン
  • Roundcube Webmail 1.2.xのうち、1.2.7より前のバージョン
  • Roundcube Webmail 1.3.xのうち、1.3.3より前のバージョン

この脆弱性は、ファイルベースの添付ファイルプラグインと_task=settings&_action=upload-display&_from=timezoneリクエストに関連しています。デフォルトで使用されるfilesystem_attachmentsプラグインが、セッションデータで参照されるファイルパスの不十分な検証により、参照されているファイルの内容を公開してしまうことが原因です。

3. 影響を受けた時の兆候

Roundcube Webmailディレクトリ内の機密ファイルまたは設定ファイルへの異常なアクセスパターンが兆候として考えられます。

4. 推奨対策

4.1 本対策

  • Roundcube Webmailを以下のバージョンにアップグレードしてください。
    • バージョン 1.1.10 以降
    • バージョン 1.2.7 以降
    • バージョン 1.3.3 以降
  • ベンダーの指示に従ってアップデートを適用してください。

4.2 暫定回避策（緩和策）

  • ファイルベースの添付ファイルプラグインの設定を見直し、機密ファイルへのアクセスを制限するよう強化してください。
  • Webメールサービスへのアクセスを制限するためのネットワーク制御を実装し、許可されたユーザーのみが認証できるようにしてください。
  • この攻撃には有効なユーザー名とパスワードによる認証が必要なため、強固な認証と認証済みセッションの監視が緩和策の一部となります。

その他解説すべき観点

  • CWE-ID: CWE-552 (Files or Directories Accessible to External Parties)。一部の文献ではCWE-200 (Exposure of sensitive information to an unauthorized actor) も言及されています。
  • 攻撃ベクトル: 攻撃者は有効な認証情報で認証できる必要があります。攻撃の複雑性は低く、認証後にはユーザーの操作は不要です。CVSSv3では攻撃ベクトルはローカル（AV:L）と評価されています。
  • PoC (Proof of Concept): 本脆弱性のPoCは公開されています。
  • CVE公開日: 2017年11月9日。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る