CVE詳細 - CVE-2023-5631-

CVE-2023-5631 の詳細

CVEの情報

説明:
Roundcube before 1.4.15, 1.5.x before 1.5.5, and 1.6.x before 1.6.4 allows stored XSS via an HTML e-mail message with a crafted SVG document because of program/lib/Roundcube/rcube_washtml.php behavior. This could allow a remote attacker to load arbitrary JavaScript code.

CVE更新日: 2023-10-18 15:15:08.727000

CVSSバージョン: 3.1

CVSSスコア: 6.1

KEVの情報

KEV更新日: 2023-10-26

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.758730000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: medium

Automatable: False

AIを使った解説

解説:

CVE-2023-5631に関する調査結果は以下の通りです。

1. 脆弱性の概要

CVE-2023-5631は、ウェブメールソフトウェアであるRoundcube Webmailに存在する格納型クロスサイトスクリプティング（XSS）の脆弱性です。この脆弱性は、特別に細工されたSVGドキュメントを埋め込んだHTMLメールメッセージを介して、リモートの攻撃者が任意のJavaScriptコードを実行することを可能にします。具体的には、program/lib/Roundcube/rcube_washtml.php の処理に問題があります。

この脆弱性は、米国土安全保障省（CISA）の「既知の悪用されている脆弱性（KEV）」カタログに登録されており、実際に悪用が確認されています。

1.1 影響

本脆弱性が悪用された場合、攻撃者は以下の影響を及ぼす可能性があります。

任意のJavaScriptコードをリモートでロードし、実行する。
機密情報への不正アクセス。
影響を受けたシステム内でのさらなる悪用（例：メールアカウント情報の窃取など）。

特に、ロシアに関連するAPTグループ「Winter Vivern」がこのゼロデイ脆弱性を利用し、ヨーロッパの政府機関やシンクタンクが使用するRoundcubeサーバーを標的として、メールアカウント情報へのアクセスを試みたことが報告されています。

1.2 深刻度

CVSSv3ベーススコア: 6.1（一部情報では5.4）。
深刻度: Medium（中程度）。
攻撃ベクター: ネットワークベース。
攻撃の複雑性: 低。
ユーザーインタラクション: 必要（ユーザーが細工されたHTMLメールをウェブブラウザで表示する）。
EPSS（Exploit Prediction Scoring System）確率: 83.34%（悪用される可能性が高いことを示唆）。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のRoundcube Webmailのバージョンが影響を受けます。

Roundcube Webmail 1.4.15より前の全バージョン
Roundcube Webmail 1.5.x系では、1.5.5より前のバージョン
Roundcube Webmail 1.6.x系では、1.6.4より前のバージョン

また、以下のディストリビューションも影響を受けるRoundcubeパッケージを含んでいます。

Debian Linux 10.0, 11.0, 12.0
Fedora 39
Ubuntu (roundcube, roundcube-coreパッケージ)

2.2 影響を受ける設定

不明。ただし、HTMLメールの表示機能が有効になっているRoundcube Webmail環境が影響を受けます。

3. 影響を受けた時の兆候

不審なメールの閲覧後に、ウェブメールのセッションが乗っ取られたり、予期せぬJavaScriptコードが実行されたりする可能性がある。
メールアカウント情報など、機密情報が不正に窃取される可能性がある。
ブラウザの動作が異常になる、またはウェブメールクライアント内で不審な挙動が見られる場合がある。

4. 推奨対策

4.1 本対策

以下の修正済みバージョンへのアップデートを適用してください。

Roundcube Webmail 1.4.15
Roundcube Webmail 1.5.5
Roundcube Webmail 1.6.4

各Linuxディストリビューション（Debian, Ubuntuなど）から提供されるセキュリティアップデートを速やかに適用することも推奨されます。

4.2 暫定回避策（緩和策）

CISAは、ベンダーの指示に従って緩和策を適用するか、利用可能な緩和策がない場合は製品の使用を中止することを推奨しています。
ユーザーは、特に信頼できない送信元からの不審なメールコンテンツに対して警戒し、不用意に開かないようにすることが重要です。

その他解説すべき観点

この脆弱性は、ESETの研究者によって発見され、Roundcubeの開発チームに報告された後、迅速にパッチがリリースされました。
本脆弱性は、CWE-79（Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')）に分類されます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る