Trusted Design

CVE-2020-12641 の詳細

CVEの情報

説明:
rcube_image.php in Roundcube Webmail before 1.4.4 allows attackers to execute arbitrary code via shell metacharacters in a configuration setting for im_convert_path or im_identify_path.

CVE更新日: 2020-05-04 15:15:14.417000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2023-06-22

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.844560000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2020-12641について、以下の観点で解説します。

1. 脆弱性の概要

Roundcube Webmailのrcube_image.phpファイルに存在するコマンドインジェクションの脆弱性です。設定パラメータim_convert_pathまたはim_identify_pathにおいて、シェルメタ文字が適切にサニタイズされないため、攻撃者が任意のコードを実行できる可能性があります。

1.1 影響

リモートの攻撃者がRoundcubeサーバー上で任意のコードを実行できる可能性があります。これにより、システムが完全に侵害され、機密ファイルの読み取り、データの改ざん、サービス可用性の妨害などが発生するおそれがあります。

1.2 深刻度

CVSS v3.1の基本評価基準では、深刻度「緊急 (Critical)」と評価されており、基本スコアは9.8です。

  • 攻撃元区分 (Attack Vector): ネットワーク (AV:N)
  • 攻撃条件の複雑さ (Attack Complexity): 低 (AC:L)
  • 攻撃に必要な特権レベル (Privileges Required): 不要 (PR:N)
  • 利用者の関与 (User Interaction): 不要 (UI:N)
  • 影響の想定範囲 (Scope): 変更なし (S:U)
  • 機密性への影響 (Confidentiality Impact): 高 (C:H)
  • 完全性への影響 (Integrity Impact): 高 (I:H)
  • 可用性への影響 (Availability Impact): 高 (A:H)

この脆弱性は、CISA (米国サイバーセキュリティ・社会基盤安全保障庁) の「既知の悪用されている脆弱性カタログ (Known Exploited Vulnerabilities Catalog)」に2023年6月22日に追加されており、実際に悪用が確認されています。APT28という脅威アクターによる悪用も確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はRoundcube Webmailアプリケーション自体に存在するため、特定のOSバージョンに限定されるものではありません。しかし、以下のRoundcube Webmailのバージョンが影響を受けます。

  • Roundcube Webmail 1.4.4より前のバージョン
  • Roundcube Webmail 1.3.11より前のバージョン
  • Roundcube Webmail 1.2.10より前のバージョン

また、特定のOSディストリビューションにバンドルされているバージョンも影響を受ける可能性があります。例えば、openSUSE Backports SLE 15.0 SP1およびSP2、openSUSE Leap 15.1および15.2が挙げられています。

2.2 影響を受ける設定

rcube_image.php内のim_convert_pathまたはim_identify_pathという設定が影響を受けます。これらの設定で入力フィルタリングが不十分なことが原因です。

3. 影響を受けた時の兆候

この脆弱性はリモートからのコード実行を引き起こすため、直接的な兆候としてユーザーインターフェースに表示されるエラーメッセージなどは特定されていません。影響を受けた場合、攻撃者によってサーバー上で任意のコマンドが実行されるため、以下のような兆候が考えられますが、これらは一般的な侵害の兆候であり、このCVEに特化したものではありません。

  • サーバーログにおける不審なプロセス実行やエラー記録
  • 意図しないデータの改ざんや削除
  • 機密情報への不正アクセス
  • システムパフォーマンスの低下やサービス停止（DoS）

4. 推奨対策

4.1 本対策

以下のパッチ適用済みバージョンにRoundcube Webmailをアップグレードしてください。

  • Roundcube Webmail 1.4.4以降
  • Roundcube Webmail 1.3.11以降
  • Roundcube Webmail 1.2.10以降

ベンダーの指示に従って適切なアップデートを実施することが重要です。

4.2 暫定回避策（緩和策）

  • 即座にパッチを適用できない場合は、Roundcubeのインストールへのネットワークアクセスを制限することを検討してください。
  • im_convert_pathおよびim_identify_pathの設定内容を確認し、信頼できない入力が含まれていないことを確認してください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る