Trusted Design

CVE-2020-35730 の詳細

CVEの情報

説明:
An XSS issue was discovered in Roundcube Webmail before 1.2.13, 1.3.x before 1.3.16, and 1.4.x before 1.4.10. The attacker can send a plain text e-mail message, with JavaScript in a link reference element that is mishandled by linkref_addindex in rcube_string_replacer.php.

CVE更新日: 2020-12-28 20:15:13.150000

CVSSバージョン: 3.1

CVSSスコア: 6.1

KEVの情報

KEV更新日: 2023-06-22

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.329200000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: medium

Automatable: False

AIを使った解説

解説:

CVE-2020-35730は、オープンソースのウェブメールソリューションであるRoundcube Webmailに存在するクロスサイトスクリプティング（XSS）の脆弱性です。

1. 脆弱性の概要

この脆弱性は、Roundcube Webmailの rcube_string_replacer.php 内の linkref_addindex 関数における不適切な入力サニタイズに起因します。攻撃者は、細工されたプレーンテキストの電子メールメッセージを送信することで、JavaScriptをリンク参照要素に埋め込むことが可能です。これにより、悪意のあるJavaScriptが被害者のブラウザセッションのコンテキストで実行される可能性があります。

1.1 影響

この脆弱性が悪用された場合、攻撃者は被害者のブラウザセッション内で任意のJavaScriptコードを実行できる可能性があります。これにより、ユーザーのクッキーに保存されているセッション情報などのプライベートな情報が漏洩する可能性があり、場合によってはドライブバイハッキングなど他の脆弱性と組み合わせることで、被害者のコンピューターで任意のコードを実行できる可能性もあります。

1.2 深刻度

CVE-2020-35730の深刻度は、CVSSv3.1の基本スコアで6.1（中）と評価されています。

  • CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
    • 攻撃元区分 (AV): N (Network) - ネットワーク経由で攻撃可能です。
    • 攻撃条件の複雑さ (AC): L (Low) - 攻撃の実行には低い複雑性が必要です。
    • 必要な特権 (PR): N (None) - 攻撃者に認証や特権は不要です。
    • ユーザー関与レベル (UI): R (Required) - 攻撃を成功させるには、ユーザーの操作（例: 悪意のあるメールの表示）が必要です。
    • スコープ (S): C (Changed) - 脆弱性のあるコンポーネントのセキュリティ境界を超えて影響が及ぶ可能性があります。
    • 機密性への影響 (C): L (Low) - 情報の機密性が低く影響を受けます。
    • 完全性への影響 (I): L (Low) - 情報の完全性が低く影響を受けます。
    • 可用性への影響 (A): N (None) - 可用性への影響はありません。

CVSSv2の基本スコアは4.3（中）です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性の影響を受けるのは、主に以下のRoundcube Webmailのバージョンを使用しているシステムです。また、これらをパッケージとして提供している特定のOSディストリビューションも影響を受けます。

  • Roundcube Webmail 1.2.x系: 1.2.13より前のバージョン
  • Roundcube Webmail 1.3.x系: 1.3.16より前のバージョン
  • Roundcube Webmail 1.4.x系: 1.4.10より前のバージョン

影響を受ける可能性がある特定のOSディストリビューション:

  • Fedora Project Fedora 32および33
  • Debian Linux 9.0

Red Hat Product Securityは、この脆弱性が現在サポートされているRed Hat製品には影響しないと判断しています。

2.2 影響を受ける設定

攻撃は、Roundcube Webmailがプレーンテキストの電子メールメッセージ内のリンク参照要素を処理する方法を悪用します。

3. 影響を受けた時の兆候

影響を受けた際の具体的なサーバー側やシステムレベルでの兆候については、公開されている情報からは明確には特定できません。XSS脆弱性の場合、通常は被害者のウェブブラウザ内で悪意のあるスクリプトが実行されるため、ユーザーが異常な動作（例: 不審なポップアップ、意図しないリダイレクト、セッション情報の窃取による不正ログインなど）を経験する可能性があります。

4. 推奨対策

4.1 本対策

影響を受けるRoundcube Webmailのバージョンを、以下の修正済みバージョンまたはそれ以降にアップデートしてください。

  • Roundcube Webmail 1.2.x系: 1.2.13
  • Roundcube Webmail 1.3.x系: 1.3.16
  • Roundcube Webmail 1.4.x系: 1.4.10

ESET社は、Roundcube Webmailを速やかに最新バージョンにアップデートすることを推奨しています。

4.2 暫定回避策（緩和策）

この脆弱性に対する具体的な暫定回避策（パッチ適用以外の緩和策）に関する記述は、調査した情報には見当たりませんでした。最も効果的な対策は、上記の修正済みバージョンへのアップデートです。

5. 他に解説すべき観点

  • 既知の悪用: CVE-2020-35730は、CISAの「Known Exploited Vulnerabilities Catalog」に登録されており、既知の悪用事例が存在します。
  • APTグループによる悪用: サイバースパイグループ「Winter Vivern (APT28)」が、ウクライナ政府機関のRoundcube Webmailサーバーを標的とした攻撃で、このCVE-2020-35730を悪用していることが確認されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る