Trusted Design

CVE-2021-44026 の詳細

CVEの情報

説明:
Roundcube before 1.3.17 and 1.4.x before 1.4.12 is prone to a potential SQL injection via search or search_params.

CVE更新日: 2021-11-19 04:15:07.197000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2023-06-22

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.698820000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-44026に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2021-44026は、Roundcube Webmailに存在するSQLインジェクションの脆弱性です。攻撃者は、searchまたはsearch_paramsパラメータを介して悪意のあるSQLコマンドを挿入し、基盤となるデータベースを侵害する可能性があります。この脆弱性は、アドレス帳の検索機能、特にユーザーが制御可能な入力によって引き起こされます。また、この脆弱性はCISAの「既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」に追加されており、実際に悪用されていることが確認されています。

1.1 影響

このSQLインジェクションの脆弱性が悪用されると、認証されていない攻撃者が基盤となるデータベースを侵害し、機密性の高いメールデータ、ユーザー認証情報、設定情報などを抽出する可能性があります。 観察された悪用事例では、認証済みのRoundcubeセッションで実行されているJavaScriptから、Roundcubeデータベースの内容をダンプするために使用されました。

1.2 深刻度

CVE-2021-44026は「Critical」と評価されており、CVSS v3スコアは9.8です。 EPSS（Exploit Prediction Scoring System）の30日間の悪用確率は70%とされており、非常に高い確率で悪用される可能性があることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

直接的に影響を受けるのはRoundcube Webmailのバージョンですが、以下のOSにパッケージ化されたRoundcubeも影響を受けます。

  • Fedora 33 および Fedora 34
  • Debian Linux 9.0, 10.0, および 11.0

2.2 影響を受ける設定

Roundcube Webmailの以下のバージョンが影響を受けます。

  • Roundcube Webmail バージョン 1.3.17 より前のバージョン
  • Roundcube Webmail バージョン 1.4.x の 1.4.12 より前のバージョン

この脆弱性は、アドレス帳コンポーネント、特に連絡先検索機能に存在します。アプリケーションが_searchリクエストパラメータを介して提供されるユーザー入力を適切に検証およびサニタイズしないことが原因です。

3. 影響を受けた時の兆候

以下の兆候が見られる場合があります。

  • Roundcube Webサーバーログに、特にアドレス帳クエリに関連する異常なSQLエラーメッセージが記録されている。
  • /addressbook/exportまたはアドレス帳関連のエンドポイントへの異常なリクエストパターンが見られ、疑わしい_searchパラメータ値が含まれている。
  • データベースの監査ログに、データ漏洩や不正なデータベースクエリの証拠が見られる。
  • 連絡先データやデータベースレコードが予期せず変更されている。
  • 不審なメールボックスアクセスや転送ルールの変更。
  • 新しい場所からの認証プロンプト。
  • 顧客システムや内部リポジトリへの不正なアクセス試行。
  • 認証情報、セッショントークン、または信頼された会話スレッドが複数の環境で再利用されている。

4. 推奨対策

4.1 本対策

  • Roundcube Webmailを直ちに更新する。
    • 1.3.x ブランチの場合は、バージョン 1.3.17 以降にアップグレード。
    • 1.4.x ブランチの場合は、バージョン 1.4.12 以降にアップグレード。
    • CISAの連邦政府機関に対する修正期限は2023年7月13日であり、この日付を自身の環境における最終期限として扱うべきです。

4.2 暫定回避策（緩和策）

  • アドレス帳のエクスポート機能を一時的に無効にすることを検討する。
  • Roundcubeへのアクセスを信頼できるネットワークまたはVPNユーザーに制限することで露出を減らす。
  • 検索機能を含むリクエストを厳密に監視する。
  • Webアプリケーションファイアウォール（WAF）ルールまたはリバースプロキシフィルタリングを展開し、疑わしいsearchおよびsearch_params入力パターンを検出・ブロックする。
  • XSSに対してWebメールを強化し、異常なメールボックスアクセスや転送ルール作成を監視し、潜在的に影響を受けるユーザーのアクティブなセッションを無効にする。
  • パッチ適用後には、メールサーバーとWebアプリケーションのログを悪用の兆候がないかレビューし、Roundcubeに保存されているデータに不正アクセスがないか調査し、潜在的に影響を受けたアカウントに関連する認証情報やセッション情報をローテーションする。

その他に解説すべき観点

  • 悪用状況: 本脆弱性は、CISAの「Known Exploited Vulnerabilities Catalog」に登録されており、APT28グループがウクライナの政府機関や電気通信会社のメールシステムを標的としたスピアフィッシングスパイ活動で悪用したことが確認されています。 具体的には、XSS脆弱性（CVE-2020-35730）と組み合わせて使用され、認証済みのSQLインジェクションとして悪用されました。
  • Shodanでの状況: 2023年11月のShodanスキャンでは、74039台のRoundcubeサーバーが確認され、そのうち21901台（29.6%）がCVE-2021-44026に対して脆弱なままでした。
  • PoCの存在: 認証済みユーザーのメールを抽出できるPoCエクスプロイトが公開されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る