Roundcube Webmail、認証ユーザーによる悪意のあるコード実行を許す10年以上の重大なバグ発見CVE-2025-49113

Security

記事本文（要約）

サイバーセキュリティ研究者は、Roundcube webmailソフトウェアに10年間見過ごされていた重大な脆弱性を公開しました。この脆弱性は、脆弱なシステムを乗っ取って任意のコードを実行することができます。CVE番号はCVE-2025-49113で、CVSSスコアは9.9です。この脆弱性はPHPオブジェクトのデシリアライゼーションを介した認証後のリモートコード実行として説明されています。

この脆弱性はバージョン1.5.10以前と1.6.x以前（1.6.11を除く）のRoundcubeに影響し、1.6.11と1.5.10 LTSで修正されています。発見者はFearsOffの創設者であるKirill Firsovです。

この脆弱性の技術的な詳細と概念実証は、ユーザーがパッチを適用する時間を考慮して近々公開予定です。以前のRoundcubeの脆弱性は、APT28やWinter Vivernなどの国家による脅威アクターのターゲットとなっています。最近の報告では、APT28がクロスサイトスクリプティング（XSS）攻撃を通じて、政府機関や防衛企業の機密データを収集していることが明らかにされています。

※この要約はChatGPTを使用して生成されました。

公開日: Tue, 03 Jun 2025 18:31:00 +0530

Original URL: https://thehackernews.com/2025/06/critical-10-year-old-roundcube-webmail.html

詳細な技術情報

この文章は、Roundcubeウェブメールソフトウェアにある重大なセキュリティ脆弱性について説明しています。この脆弱性は、10年間見過ごされてきたもので、攻撃者が脆弱なシステムを乗っ取り、任意のコードを実行できる可能性があります。以下にこの脆弱性に関する重要な情報を詳しく説明します。

CVE番号

  • CVE-2025-49113

脆弱性の仕組み

  • PHP Object Deserialization: この脆弱性は、PHPのオブジェクトデシリアライゼーションに関連しています。すなわち、シリアライズされたデータが不適切に処理されることで、任意のコード実行が可能になるというものです。
  • パラメータの不正なバリデーション: 特に問題となっているのは、_fromパラメータがURLにおいて適切にバリデーションされないことで、攻撃者が送信したデータがデシリアライズされる可能性がある点です。

攻撃手法

  • 認証後: この脆弱性を利用するためには、攻撃者はまず認証を行う必要があります。
  • URL操作: 特定のURLのパラメータが誤って処理されるのを利用して、悪意のあるシリアライズデータを注入し、それを通じて任意のコードを実行する可能性があります。

潜在的な影響

  • リモートコード実行: 攻撃者が成功すると、任意のコードがサーバー上で実行され、システムが完全に乗っ取られる可能性があります。
  • データ漏洩: 悪意のある攻撃者が機密情報へアクセスする可能性もあります。
  • システムの不安定化または停止: 攻撃の結果、サーバーが不安定化または停止することが考えられます。

推奨される対策

  1. アップデートの適用: Roundcubeを脆弱性に対処したバージョン（1.6.11または1.5.10 LTS）にアップデートすることが最も効果的な対策です。
  2. アクセス制限: 認証後の攻撃を防ぐため、ウェブメールの管理者に対するアクセスを厳密に制限します。
  3. ログの監視: 攻撃の兆候を早期に検知するために、サーバーログを継続的に監視します。
  4. 追加情報とPoCに留意: 追加の技術的な詳細やProof-of-Concept（PoC）が公開される予定があるため、それらの情報に注意を払うことが重要です。
  5. セキュリティトレーニング: ユーザーや管理者に対するセキュリティ意識向上のためのトレーニングを実施し、フィッシング攻撃や不正な活動への対抗策を強化します。