リモートの Ubuntu 16.04 LTS / 18.04 LTS ホストには、USN-8132-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Roundcube Webmail が適切にサニタイズしないことが発見されました。

    あることが判明されました。攻撃者が

    クロスサイトスクリプティング攻撃を引き起こすために、この問題を利用します。この問題は、

    Ubuntu 16.04 LTS で対処されました。CVE-2016-4068、 CVE-2016-4069

    Roundcube Webmail が特定の状況を適切に処理していないことが判明しました。

    構成パラメーター。攻撃者がこの問題を悪用して、

    任意のコードを実行したりする可能性があります。この問題は Ubuntu 16.04 LTS のみで対処されました。

    (CVE-2016-9920)

    Roundcube Webmail が CSS スタイルを適切にサニタイズしないことが発見されました

    SVG ドキュメント内で発見しました。攻撃者がこの問題を悪用して、

    クロスサイトスクリプティング攻撃が引き起こされる可能性があります。この問題は Ubuntu 16.04 LTS のみで対処されました。(CVE-2017-6820)

    Roundcube Webmail が exec 呼び出しを適切に制限していないことが判明しました。

    パスワードプラグインの特定のドライバーを対象としています。認証されたユーザーが、

    任意のパスワードのリセットを実行するのにこの問題を利用します。この問題は、

    Ubuntu 16.04 LTS のみです。(CVE-2017-8114)

    Roundcube Webmail がファイルの権限を適切に設定していないことが判明しました。

    Enigma プラグイン。攻撃者が、この問題を利用して、GPG をプライベートに抽出する可能性があります。

    ネットワーク接続を介してキーを実行する可能性があります。CVE-2018-1000071

    Roundcube Webmail が GnuPG MDC を適切に処理していないことが判明しました

    整合性保護の警告を表示します。攻撃者がこの問題を利用し、

    暗号化された通信からの機密情報を漏洩する可能性があります。CVE-2018-19205

    Roundcube Webmail が HTML 添付ファイル内の <svg> および <style> タグを適切にサニタイズしないことが発見されました。攻撃者がこの問題を悪用して、

    クロスサイトスクリプティング攻撃。CVE-2018-19206

    Roundcube Webmail が、部分的に暗号化されたマルチパートメッセージを適切に処理していないことが判明しました。
    攻撃者がこの問題を悪用して、

    電子メールの返信を介して、暗号化されたメッセージの平文が漏洩する脆弱性。CVE-2019-10740

    Roundcube Webmail が特定のパラメーターを適切にサニタイズしないことが判明しました

    可能性があります。攻撃者がこの問題を利用して、

    IMAP インジェクション攻撃この問題は Ubuntu 16.04 LTS のみで対処されました。(CVE-2018-9846)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Ubuntu 16.04 LTS / 18.04 LTSRoundcube Webmail の脆弱性USN-8132-1

high Nessus プラグイン ID 304432

バージョン 1.1