**リリース 1.1.5** * プラグイン API：html2text フックを追加しました。* プラグイン API：
addressbook_export フックを追加しました。* html からテキストへ変換する際に絵文字アイコンが欠落しているのを修正します。* 「このリソースへのアクセスは CSRF に対して安全です」というログアウト時のランダムメッセージを修正します（#4956）。* HTML モードの「辞書へ追加します」というリクエストで言語名が欠落しているのを修正します（#4951）。* IMAP の TLSv1.1 と TLSv1.2 の使用を有効にします（#4955）。* SVG 画像処理の XSS 問題を修正します（#4949）。* パスワードプラグインの DBMail ドライバーのセキュリティ問題を（再度）修正します（CVE-2015-2181）（#4958）。* 受信者名が @-char を含むケースに対して解析する長い受信者リストのバグを修正します（#4964）

- Mail_Mime >= 1.9 の additional_message_headers のプラグイン互換性を修正します（#4966）。* smtp_server が使用されていない際に、プリファレンスの DSN オプションを非表示にします（#4967）

- 一意のリクエストトークンを使用して、CSRF に対するダウンロード URL を保護します（#4957）。* newmail_notifier プラグイン：リファクタリングされたデスクトップ通知 * contactlist_fields オプションを構成ファイルで設定できるように修正します。* SPECIAL-USE 割り当てが、ユーザーが特別のフォルダーを設定するまでのみ強制されるように修正します（#4782）。* THREAD 結果の逆戻り順のパフォーマンスを修正します。* www. 付きのメールアドレスを mailto リンクへ変換するのを修正します
 （#5197）

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

IMAP サーバーの Web メールソリューションである Roundcube が、SVG イメージを処理する際に、クロスサイトスクリプティング（XSS）の脆弱性の影響を受けます。
添付されたイメージのダウンロードリンクを右クリックすると、組み込み JavaScript を別のタブで実行することが可能でした。

この更新により、メールと TABS における SVG イメージの表示が無効になります。
添付ファイルのダウンロードは行えます。このセキュリティ更新は、SVG イメージのこの問題を悪用する他の方法によるダメージも軽減します。
（CVE-2016-4068）

Debian 7「Wheezy」では、これらの問題はバージョン 0.7.2-9+deb7u3 で修正されました。

お使いの roundcube パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

roundcubemail 用のこの更新は、次の脆弱性を修正します：

- CVE-2015-8864：SVG イメージ処理における XSS 問題（boo#976988）

- CVE-2015-2181：パスワードプラグイン Roundcubemail の DBMail ドライバーでの問題も 1.0.9 に更新され、次のバグが修正されました：

- エクスポートで一部の連絡先データが不足していたため、PHP 警告が記録されていた回帰を修正します

- IMAP 向けの TLSv1.1 および TLSv1.2 の使用を有効にします

- select=all モードでのページジャンプ後に Archive/Junk ボタンが有効にならないバグを修正します

- 受信者名に @ が含まれる場合の長い受信者リスト解析のバグを修正します

- 1.9 以上の Mail_Mime との additional_message_headers プラグインの互換性を修正します

- smtp_server が使用されていない場合に、プリファレンスの DSN オプションを非表示にします

この roundcubemail の更新で、roundcubemail が 1.0.9 に更新され、以下の問題が修正されます：

- CVE-2015-8864：SVG イメージ処理における XSS 問題 [boo#976988]

- CVE-2015-2181 パスワードプラグインの DBMail ドライバーのセキュリティ問題

roundcubemail 用のこの更新は、次の脆弱性を修正します：

- CVE-2015-8864：SVG イメージ処理における XSS 問題（boo#976988）

- CVE-2015-2181：パスワードプラグインの DBMail ドライバーでの問題

- CVE-2016-4069：ダウンロード URL でのクロスサイトリクエスト偽造（boo#976988）Roundcubemail も 1.1.5 に更新され、次のバグが修正されました：

- プラグイン API：html2text フックを追加します

- プラグイン API：addressbook_export フックを追加しました

- html-to-text 変換で不足している絵文字を修正します

- ログアウト時の脈絡のない「access to this resource is secured against CSRF」メッセージを修正します

- HTML モードで「Add to Dictionary」リクエストに不足している言語名を修正します

- IMAP 向けの TLSv1.1 および TLSv1.2 の使用を有効にします

- select=all モードでのページジャンプ後に Archive/Junk ボタンが有効にならないバグを修正します

- 受信者名に @ が含まれる場合の長い受信者リスト解析のバグを修正します

- 1.9 以上の Mail_Mime との additional_message_headers プラグインの互換性を修正します

- smtp_server が使用されていない場合に、プリファレンスの DSN オプションを非表示にします

- newmail_notifier：デスクトップ通知をリファクタリングします

- 構成ファイルを通じて contactlist_fields オプションを設定できるように修正します

- SPECIAL-USE 引数が強制されるのは、ユーザーが特別のフォルダーを設定するまでのみになるように修正します

- THREAD 結果の順序を元に戻す際でのパフォーマンスを修正します

- @www. 付きメールアドレスから mailto リンクへの変換を修正します

ID	名前	製品	ファミリー	公開日	更新日	深刻度
90815	Fedora 22：roundcubemail-1.1.5-1.fc22（2016-a9c8f9dcff）	Nessus	Fedora Local Security Checks	2016/5/2	2021/1/11	high
91904	Debian DLA-537-1：roundcube のセキュリティ更新	Nessus	Debian Local Security Checks	2016/7/1	2021/1/11	medium
93068	openSUSE セキュリティ更新：roundcubemail（openSUSE-2016-996）	Nessus	SuSE Local Security Checks	2016/8/22	2021/1/19	high
90813	Fedora 23：roundcubemail-1.1.5-1.fc23（2016-69eb7f9fb2）	Nessus	Fedora Local Security Checks	2016/5/2	2021/1/11	high
93074	openSUSE セキュリティ更新：roundcubemail（openSUSE-2016-1011）	Nessus	SuSE Local Security Checks	2016/8/23	2021/1/19	high
93067	openSUSE セキュリティ更新：roundcubemail（openSUSE-2016-995）	Nessus	SuSE Local Security Checks	2016/8/22	2021/1/19	high
90971	Fedora 24：roundcubemail-1.1.5-1.fc24（2016-aff691237e）	Nessus	Fedora Local Security Checks	2016/5/9	2021/1/11	high

検出

プラグインの検索

high

medium

high

high

high

high

high