Trusted Design

CVE-2024-11182 の詳細

CVEの情報

説明:
An XSS issue was discovered in MDaemon Email Server before version 24.5.1c. An attacker can send an HTML e-mail message with JavaScript in an img tag. This could allow a remote attacker to load arbitrary JavaScript code in the context of a webmail user's browser window.

CVE更新日: 2024-11-15 11:15:10.410000

CVSSバージョン: 4.0

CVSSスコア: 5.3

KEVの情報

KEV更新日: 2025-05-19

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.313550000

EPSS更新日: 2026-10-20 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: False

AIを使った解説

解説:

CVE-2024-11182について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2024-11182は、MDaemon Email Serverのバージョン24.5.1cより前のバージョンに存在する、格納型クロスサイトスクリプティング（XSS）の脆弱性（CWE-79）です。

攻撃者は、JavaScriptが埋め込まれた<img>タグを含むHTML形式のメールを作成し、標的のユーザーに送信します。ウェブメールユーザーがこの悪意のあるメールを開くと、攻撃者が制御するスクリプトが被害者のウェブメールセッションのコンテキストで実行されます。

1.1 影響

この脆弱性が悪用されると、リモートの攻撃者が被害者のウェブメールブラウザセッション内で任意のJavaScriptを実行できるため、以下のような深刻な影響が生じる可能性があります。

  • セッションハイジャック
  • メールボックスの内容の窃取
  • 信頼された内部送信者からのさらなるフィッシング攻撃の足がかり
  • 認証情報なしでのアカウント乗っ取り
  • メール、連絡先リスト、カレンダーデータなどの情報漏えい
  • 侵害されたアカウントからの外部へのメール送信
  • 不正な操作や情報開示

CISA（米国サイバーセキュリティ・社会基盤安全保障庁）は、このCVEを既知の悪用されている脆弱性（KEV）カタログに追加しており、実際に悪用されていることが確認されています。ロシアの脅威アクターグループ「Fancy Bear」（APT28）が、政府機関や防衛企業を標的としたスピアフィッシングキャンペーンでこの脆弱性を悪用し、悪意のあるJavaScriptペイロードであるSpyPressを配信していることが観測されています。

1.2 深刻度

  • CVSS v3.1 基本評価スコア: 6.1 (警告: MEDIUM)
  • CVSS v4.0 基本評価スコア: 5.3 (MEDIUM)
  • NVD（National Vulnerability Database）では「MEDIUM」と評価されています。
  • EVULNABLEのリスク評価では75/100、優先度「Urgent」とされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

脆弱性のあるMDaemonビルドを実行しているすべてのオペレーティングシステム展開環境が影響を受けます。具体的なOSバージョンは明記されていませんが、MDaemon Email Serverが稼働している環境が対象となります。

2.2 影響を受ける設定

  • MDaemon Email Serverのバージョン24.5.1cより前のバージョン。
  • HTMLメールメッセージをレンダリングするMDaemonウェブメール（Worldclient）インターフェース。

3. 影響を受けた時の兆候

  • メールボックスのルール、転送設定、送信済みアイテムフォルダに、悪用後の活動の兆候が見られる。
  • 侵害されたアカウントからの不審な外部メールの送信。
  • 認識できないアクセスや活動の変更（アカウント乗っ取りやセッションハイジャックから推測）。

4. 推奨対策

4.1 本対策

  • すべてのMDaemon Email Serverインスタンスを遅滞なくバージョン24.5.1c以降にアップグレードしてください。MDaemon Technologiesは、バージョン24.5.1cでこのサニタイズの欠陥を修正しています。

4.2 暫定回避策（緩和策）

  • パッチ適用前に疑わしいHTMLメールを開いた可能性のあるユーザーについては、パスワードをリセットし、アクティブなウェブメールセッションを無効化してください。
  • 組織内で設定されていない転送ルールがないか、ウェブメールアカウントを確認してください。
  • 疑わしいJavaScriptコードを含むメールをブロックするために、WAF（Web Application Firewall）やメールフィルタリングシステムなどの導入を検討してください。
  • 緩和策が利用できない場合は、製品の使用を中止してください。
  • ベンダーの指示に従って緩和策を適用してください。

5. その他解説すべき観点

  • CISA KEVカタログへの登録: この脆弱性は、2025年5月19日（または2025年5月20日）にCISAのKnown Exploited Vulnerabilities (KEV) カタログに追加されました。連邦政府機関に対する是正措置の期限は2025年6月9日と設定されています。これは、この脆弱性が現実世界で活発に悪用されていることを示しています。
  • CWE: 脆弱性タイプはCWE-79（Webページ生成時の入力の不適切な無害化（クロスサイトスクリプティング））に分類されます。
  • 脅威アクター: ロシア政府が支援する脅威アクターグループ「Fancy Bear」（APT28）が、この脆弱性を悪用していることが確認されています。

参照したサイト:

NVDサイト

NVDでCVEの詳細を見る

戻る