**リリース 1.1.5** * プラグイン API：html2text フックを追加しました。* プラグイン API：
addressbook_export フックを追加しました。* html からテキストへ変換する際に絵文字アイコンが欠落しているのを修正します。* 「このリソースへのアクセスは CSRF に対して安全です」というログアウト時のランダムメッセージを修正します（#4956）。* HTML モードの「辞書へ追加します」というリクエストで言語名が欠落しているのを修正します（#4951）。* IMAP の TLSv1.1 と TLSv1.2 の使用を有効にします（#4955）。* SVG 画像処理の XSS 問題を修正します（#4949）。* パスワードプラグインの DBMail ドライバーのセキュリティ問題を（再度）修正します（CVE-2015-2181）（#4958）。* 受信者名が @-char を含むケースに対して解析する長い受信者リストのバグを修正します（#4964）

- Mail_Mime >= 1.9 の additional_message_headers のプラグイン互換性を修正します（#4966）。* smtp_server が使用されていない際に、プリファレンスの DSN オプションを非表示にします（#4967）

- 一意のリクエストトークンを使用して、CSRF に対するダウンロード URL を保護します（#4957）。* newmail_notifier プラグイン：リファクタリングされたデスクトップ通知 * contactlist_fields オプションを構成ファイルで設定できるように修正します。* SPECIAL-USE 割り当てが、ユーザーが特別のフォルダーを設定するまでのみ強制されるように修正します（#4782）。* THREAD 結果の逆戻り順のパフォーマンスを修正します。* www. 付きのメールアドレスを mailto リンクへ変換するのを修正します
 （#5197）

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

複数の CSRF および XSS 問題により、リモートの攻撃者が認証をハイジャックし、ユーザーの同意なしに roundcube 操作を実行することが可能です。場合によっては、これによりデータが消失したり漏洩したりする可能性があります。

CVE-2014-9587

複数のクロスサイトリクエスト偽造（CSRF）の脆弱性により、（1）アドレスブック操作または（2）ACL または（3）Managesieve プラグインに関係する未知のベクトルを通じて、リモートの攻撃者が特定されない被害者の認証をハイジャックする可能性があります。

CVE-2015-1433

スタイル HTML 属性のサニタイズの中の引用符ロジックが誤っているために、リモートの攻撃者がユーザーのブラウザで任意の JavaScript コードを実行することが可能です。CVE-2016-4069

クロスサイトリクエスト偽造（CSRF）の脆弱性のために、リモートの攻撃者が添付ファイルをダウンロードするリクエストのためのユーザーの認証をハイジャックして、詳細不明なベクトルを通じてサービス拒否（ディスク消費）を引き起こすことが可能です。

Debian 7「Wheezy」では、これらの問題はバージョン 0.7.2-9+deb7u4 で修正されました。

お使いの roundcube パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.1.5 より前の Roundcube Webmail におけるクロスサイトリクエスト偽造CSRFの脆弱性により、リモートの攻撃者が、詳細不明なベクトルを通じて、添付ファイルをダウンロードするリクエストのユーザーの認証をハイジャックし、サービス拒否ディスク消費を引き起こす可能性があります。CVE-2016-4069

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

roundcubemail 用のこの更新は、次の脆弱性を修正します：

- CVE-2015-8864：SVG イメージ処理における XSS 問題（boo#976988）

- CVE-2015-2181：パスワードプラグインの DBMail ドライバーでの問題

- CVE-2016-4069：ダウンロード URL でのクロスサイトリクエスト偽造（boo#976988）Roundcubemail も 1.1.5 に更新され、次のバグが修正されました：

- プラグイン API：html2text フックを追加します

- プラグイン API：addressbook_export フックを追加しました

- html-to-text 変換で不足している絵文字を修正します

- ログアウト時の脈絡のない「access to this resource is secured against CSRF」メッセージを修正します

- HTML モードで「Add to Dictionary」リクエストに不足している言語名を修正します

- IMAP 向けの TLSv1.1 および TLSv1.2 の使用を有効にします

- select=all モードでのページジャンプ後に Archive/Junk ボタンが有効にならないバグを修正します

- 受信者名に @ が含まれる場合の長い受信者リスト解析のバグを修正します

- 1.9 以上の Mail_Mime との additional_message_headers プラグインの互換性を修正します

- smtp_server が使用されていない場合に、プリファレンスの DSN オプションを非表示にします

- newmail_notifier：デスクトップ通知をリファクタリングします

- 構成ファイルを通じて contactlist_fields オプションを設定できるように修正します

- SPECIAL-USE 引数が強制されるのは、ユーザーが特別のフォルダーを設定するまでのみになるように修正します

- THREAD 結果の順序を元に戻す際でのパフォーマンスを修正します

- @www. 付きメールアドレスから mailto リンクへの変換を修正します

ID	名前	製品	ファミリー	公開日	更新日	深刻度
90813	Fedora 23：roundcubemail-1.1.5-1.fc23（2016-69eb7f9fb2）	Nessus	Fedora Local Security Checks	2016/5/2	2021/1/11	high
93385	Debian DLA-613-1：roundcube のセキュリティ更新	Nessus	Debian Local Security Checks	2016/9/9	2021/1/11	high
254497	Linux Distros のパッチ未適用の脆弱性: CVE-2016-4069	Nessus	Misc.	2025/8/25	2025/8/25	high
90815	Fedora 22：roundcubemail-1.1.5-1.fc22（2016-a9c8f9dcff）	Nessus	Fedora Local Security Checks	2016/5/2	2021/1/11	high
90971	Fedora 24：roundcubemail-1.1.5-1.fc24（2016-aff691237e）	Nessus	Fedora Local Security Checks	2016/5/9	2021/1/11	high
93067	openSUSE セキュリティ更新：roundcubemail（openSUSE-2016-995）	Nessus	SuSE Local Security Checks	2016/8/22	2021/1/19	high

検出

プラグインの検索

high

high

high

high

high

high