Trusted DesignCVE-2020-13965 の詳細
CVEの情報
説明:
An issue was discovered in Roundcube Webmail before 1.3.12 and 1.4.x before 1.4.5. There is XSS via a malicious XML attachment because text/xml is among the allowed types for a preview.
CVE更新日: 2020-06-09 03:15:11.250000
CVSSバージョン: 3.1
CVSSスコア: 6.1
KEVの情報
KEV更新日: 2024-06-26
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.765960000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: medium
Automatable: False
CVE-2020-13965について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2020-13965は、Roundcube Webmailに存在するクロスサイトスクリプティング（XSS）の脆弱性です。この脆弱性は、悪意を持って細工されたXML添付ファイルがプレビューされる際に発生します。
text/xmlが添付ファイルのプレビューに許可されているMIMEタイプに含まれているため、攻撃者は任意のJavaScriptコードを実行させることが可能となります。1.1 影響
攻撃者は、被害者のブラウザセッションのコンテキストで任意のJavaScriptコードを実行できます。これにより、セッショントークンの窃取、資格情報の取得、電子メールコンテンツの変更、機密性の高い電子メールの攻撃者によって制御されるアドレスへの転送、または同じRoundcube環境内の他のユーザーへの攻撃の足がかりとなる可能性があります。 悪意のある電子メールを送信するために認証は不要ですが、ユーザーが添付ファイルをプレビューする操作が必要です。
1.2 深刻度
CVSS v3.1の基本スコアは6.1で「中」（Medium）と評価されています。 CVSS v2の基本スコアは4.3で「中」（Medium）と評価されています。 米国CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用されている脆弱性（KEV）カタログに追加されており、実際に悪用が確認されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性はRoundcube Webmailアプリケーション自体に存在するため、特定のOSバージョンに限定されません。しかし、以下のOS向けにRoundcubeのセキュリティアップデートが提供されています。 * Debian Linux 9.0 * Debian Linux 10.0 * Fedora 31 * Fedora 32 これらのOS上で影響を受けるバージョンのRoundcube Webmailが稼働している場合に影響を受けます。
2.2 影響を受ける設定
Roundcube Webmailのバージョン1.3.12より前、および1.4.x系の1.4.5より前のバージョンが影響を受けます。 特に、添付ファイルのプレビューに
text/xmlMIMEタイプが許可されている設定が脆弱性の原因となります。3. 影響を受けた時の兆候
この脆弱性が悪用された場合、被害者のブラウザ内で攻撃者が仕込んだ悪意のあるJavaScriptコードが実行されます。直接的なシステムの異常を示す兆候というよりは、以下のような影響が発生する可能性があります。 * ウェブメールセッションの乗っ取り。 * 意図しない電子メールの送信や転送。 * ウェブメールインターフェースの改ざん。 * 資格情報の窃取を目的としたフィッシングページの表示など。
これらの兆候は、ユーザーが不審なXML添付ファイルをプレビューした後に発生する可能性があります。
4. 推奨対策
4.1 本対策
Roundcube Webmailを以下のバージョンにアップグレードしてください。 * バージョン 1.3.12 以降 * バージョン 1.4.5 以降 (1.4.x系の場合)
具体的なパッチの適用方法については、Debianセキュリティアドバイザリ（DSA-4700）やFedoraパッケージアナウンス、Roundcubeの公式リリースノートを参照してください。
4.2 暫定回避策（緩和策）
明示的な暫定回避策は公式情報には記載されていませんが、脆弱性の原因が悪意のあるXML添付ファイルのプレビューにあるため、技術的に可能であれば、Roundcube Webmailの添付ファイルプレビュー機能において、
text/xmlなどの特定のMIMEタイプの処理を無効にする、または厳格なサニタイズを適用することで、リスクを軽減できる可能性があります。しかし、これは一時的な緩和策であり、根本的な解決のためにはアップグレードが強く推奨されます。参照したサイト