Trusted DesignCVE-2024-42009 の詳細
CVEの情報
説明:
A Cross-Site Scripting vulnerability in Roundcube through 1.5.7 and 1.6.x through 1.6.7 allows a remote attacker to steal and send emails of a victim via a crafted e-mail message that abuses a Desanitization issue in message_body() in program/actions/mail/show.php.
CVE更新日: 2024-08-05 19:15:38.220000
CVSSバージョン: 3.1
CVSSスコア: 9.3
KEVの情報
KEV更新日: 2025-06-09
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.828820000
EPSS更新日: 2026-10-21 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2024-42009について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2024-42009は、人気のあるオープンソースWebメールクライアントであるRoundcube Webmailに存在するクロスサイトスクリプティング（XSS）の脆弱性です。この脆弱性は、
program/actions/mail/show.phpファイル内のmessage_body()関数における不適切なHTMLコンテンツの処理、特に「脱サニタイズ（desanitization）」の問題に起因します。これにより、攻撃者は特別に細工された電子メールメッセージを介して、被害者のブラウザで任意のJavaScriptコードを実行することが可能となります。1.1 影響
この脆弱性が悪用されると、リモートの攻撃者が以下の行為を行う可能性があります。 * 被害者のメールを窃取する。 * 被害者の代わりにメールを送信する。 * 被害者の連絡先情報を窃取する。 * 被害者のブラウザセッション内で任意のスクリプトを注入し、ブラウザを乗っ取る。
現在、この脆弱性は、米国およびカナダの大学の物理学および工学部門を標的とした、中国と関連するとされる脅威クラスター「UNK_MassTraction」によって活発に悪用されていることが確認されています。攻撃後の活動には、認証情報の窃取、Webシェルの展開、VShellと呼ばれるポストエクスプロイテーションツールの使用が含まれます。
1.2 深刻度
CVE-2024-42009のCVSSv3.1スコアは9.3（緊急：Critical）と評価されています。CVSSベクトルは
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:Nです。この脆弱性は、CWE-79（Webページ生成時の入力に対する不適切なエスケープ処理、クロスサイトスクリプティング）に分類されます。NVD（National Vulnerability Database）には2024年8月5日に公開されました。2. 対象となる環境
2.1 影響を受けるOSバージョン
特定のOSバージョンに関する記載はありません。Roundcube Webmailアプリケーション自体が影響を受けます。
2.2 影響を受ける設定
以下のRoundcube Webmailのバージョンが影響を受けます。 * Roundcube Webmail バージョン1.5.7まで (1.5.0から1.5.7を含む)。 * Roundcube Webmail 1.6.x系列の1.6.7まで (1.6.0から1.6.7を含む)。
また、特定のOSディストリビューションにバンドルされているRoundcubeも影響を受ける可能性があります。 * Debian 12のRoundcube (1.6.5+dfsg-1+deb12u3を除く) * Fedora 39のroundcubemail (1.6.8-1.fc39を除く) * Fedora 40のroundcubemail (1.6.8-1.fc40を除く) * Fedora EPEL 9のroundcubemail (1.5.8-1.el9を除く)
3. 影響を受けた時の兆候
被害者が悪意のある電子メールをRoundcube Webmailで表示すると、そのブラウザ上で攻撃者によって任意のJavaScriptが実行される可能性があります。これにより、以下のような兆候が考えられます。 * 身に覚えのないメールの送受信履歴。 * メール設定（例：メール転送設定）が意図せず変更されている。 * 認証情報の窃取（例：フィッシングサイトへの誘導、セッションハイジャック）。 * Proofpointによると、活発な攻撃では認証情報の収集、Webシェルの展開、VShellというツールの利用が確認されています。
4. 推奨対策
4.1 本対策
4.2 暫定回避策（緩和策）
その他解説すべき観点
参照したサイト