このroundcubemail用の更新プログラムでは、次の問題が修正されていします：

roundcubemailが1.3.15にアップグレードされました

これは、LTSバージョン1.3へのセキュリティ更新です。（boo#1175135）

  - セキュリティ：悪意のあるsvgコンテンツ[CVE-2020-16145]のあるHTMLメッセージを介したクロスサイトスクリプティング（XSS）を修正します

  - セキュリティ：悪意のあるmathコンテンツのあるHTMLメッセージを介したクロスサイトスクリプティング（XSS）を修正します

1.3.14から（boo#1173792 -> CVE-2020-15562）

  - セキュリティ：悪意のあるsvg/名前空間のあるHTMLメッセージを介したクロスサイトスクリプティング（XSS）を修正します

1.3.13から

  - インストーラー：SMTPテストセクションの回帰を修正します（#7417）

1.3.12から

  - セキュリティ：CVE-2020-12641の修正を改善（boo#1171148）

  - セキュリティ：テンプレートオブジェクト「ユーザー名」におけるXSSの問題を修正します（#7406）

  - セキュリティ：インストーラーでのいくつかのXSSの問題を修正します（#7406）

  - セキュリティ：悪意のあるXML添付ファイルを介したクロスサイトスクリプティング（XSS）を修正します

1.3.11から（boo#1171148 -> CVE-2020-12641 boo#1171040 -> CVE-2020-12625 boo#1171149 -> CVE-2020-12640）

  - Enigma：Mail_Mime >= 1.10.5との互換性を修正します 

  - bin/install-jsdeps.shスクリプトによって作成されたいくつかのフォルダの権限を修正します（#6930）

  - コンテンツIDヘッダーに冗長スペースが含まれている場合にインライン画像が無視される可能性があったバグを修正します（#6980）

  - PHP警告を修正します：未定義定数LOG_EMERGEの使用（#6991）

  - PHP警告を修正します：array_merge()：パラメーター2は配列である必要があり、sendmail.incでnullが指定されています（#7003）

  - セキュリティ：HTMLメッセージのCDATAの処理におけるXSS問題を修正します

  - セキュリティ：細工された「im_convert_path」または「im_identify_path」設定によるリモートコードの実行を修正します

  - セキュリティ：細工された「プラグイン」オプションによりローカルファイルインクルード（およびコード実行）を修正します

  - セキュリティ：認証されたユーザーをログアウトするために使用することができるCSRFバイパスを修正します（#7302）

1.3.10から（boo#1146286）

  - Managesieve：[フィルタ]メニューが無効になっているとき、「フィルタを作成」オプションが表示されないように修正します（#6723）

  - Enigma：取り消されたユーザー/キーがキー情報でグレーアウトしないバグを修正します

  - Enigma：取り消されたキーで暗号化しようとするときのエラーメッセージを修正します（#6607）

  - Enigma：「decryption oracle」バグ[CVE-2019-10740]を修正します（#6638） 

  - kolab/net_ldap3 > 1.0.7との互換性を修正します（#6785）

  - 一部のシステムでbmp画像が表示されないバグを修正します（#6728）

  - 無効な正規表現によるPHP 7.3を使用するvCardデータ解析におけるバグを修正します（#6744）

  - htmlからテキストへの変換の際に太字/強調テキストが大文字に変換されるバグを修正します（6758）

  - rcube_utils: : parse_hosts()で、％t、％d、％zがtldのみを返す可能性があるバグを修正します（#6746）

  - メールビューの[次へ]/[戻る]ボタンがマルチフォルダ検索結果で機能しないバグを修正します（#6793）

  - メッセージリストの列の選択が機能しないバグを修正します

  - マルチページTiff画像をJpegに変換する際のバグを修正します（#6824）

  - マルチフォルダの検索結果に戻った後のメッセージの順序の間違いを修正します（#6836）

  - PHP 7.4 deprecation: implode()による誤ったパラメーターの順序を修正します（#6866）

  - 次の位置をバイパスできるバグを修正します：受信メッセージの修正済みCSSチェック（#6898）

  - URL内のいくつかの厳しいリモートのurl()スタイルが意図せずにブロックされる不具合を修正します（#6899）

  - 次を使用するHTMLメッセージ内のCSS jailをバイパスできるバグを修正します：root疑似クラス（#6897）

  - 次のデータでhref URIチェックをバイパスできるバグを修正します：アプリケーション/xhtml+xmlのURI（#6896）

1.3.9から（boo#1115718）

  - TinyMCEのダウンロード場所を修正します（#6694）

  - ファイル名なしのメッセージ/rfc822部分が添付ファイルリストにリストされていなかったバグを修正します（#6494）

  - vCardインポートの空のエントリの処理を修正します（#6564）

  - 未承諾の返信を含むいくつかのIMAPコマンド応答の解析におけるバグを修正します（#6577）

  - debug_loggerプラグインのPHP 7.2互換性を修正します（#6586）

  - いずれのレコードもメールドメインの検証に使用されないように修正し、代わりにA、MX、CNAME、AAAAを使用します（#6581）

  - インストーラーのmime_content_typeチェックが、常に利用可能なファイル（つまり、プログラム/リソースから）を使用するように修正します（#6599）

  - 大きすぎるメッセージ部分をダウンロードするリンクでのCSRFトークンの欠落を修正します（#6621）

  - ESCキーでドラッグを中止しても移動アクションが停止しなかったバグを修正します（#6623）

  - 折りたたまれたスレッドを削除した後、次の行が選択されなかったバグを修正します（#6655）

1.3.8から 

  - Courier-IMAP 4.17.1のダミーQUOTA応答におけるPHP警告を修正します（#6374）

  - BINARYからBODY FETCHへのフォールバックがdovecot 2.3の[PARSE]エラーでも使用されるように修正します（#6383）

  - Enigma：認証サブキーを持つキーの削除を修正します（#6381）

  - PHP 7.3で警告をスローする無効な正規表現を修正します（#6398）

  - クラシックスキンスプリッタがウィンドウの外にエスケープしないように修正します（#6397）

  - 無効なスタイルタグのコンテンツを処理する際のXSSの問題を修正します（#6410）

  - MySQL 8との互換性を修正します-「system」テーブルの使用でのエラー

  - Managesieve：show_real_foldernamesの設定が尊重されないバグを修正します（#6422）

  - New_user_identity：ユーザー固有のLDAPパラメーターでの%fu/%u vars置換を修正します（#6419）

  -「x_frame_options」構成オプションの「allow-from <uri>」のサポートを修正します（#6449）

  - いくつかのケースでHTMLのコメント間の有効なコンテンツがスキップされた可能性のあるバグを修正しました（#6464）

  - 複数のVCardフィールド検索を修正します（#6466）

  - 長期実行リクエストでのセッション問題を修正します（#6470）

1.3.7から（boo#1115719）

  - PHP警告を修正します：php-intlがないシステムでの未定義の定数IDNA_DEFAULTの使用（#6244）

  - クォータ情報の一部が無視されていた可能性があるバグを修正します（#6280）

  - htmlスタイルの一部のエスケープシーケンスがセキュリティチェックをバイパスする可能性があるバグを修正します

  - Cyrus-IMAPの一部の禁止文字の使用がフォルダ名で防止されなかったバグを修正します

  - 同じ名前の添付ファイルのみがzipダウンロードで無視されるバグを修正します（#6301）

  - unicodeの連絡先名が破損している/空になっている、またはDBエラーを引き起こす可能性のあったバグを修正します（#6299）

  - 「すべてのフォルダを既読としてマーク」した後、アクションメッセージカウンターがリセットされなかったバグを修正します（#6307）

  - Enigma：[EFAIL] MDC保護のないPGPメッセージを復号化しません（#6289）

  - 一部のHTMLコメントがHTMLパーサーにより無効な形式にされる可能性があったバグを修正します（#6333）

**バージョン 1.3.10**

  - Managesieve：[フィルタ]メニューが無効になっているとき、「フィルタを作成」オプションが表示されないように修正します（#6723）

  - Enigma：取り消されたユーザー/キーがキー情報でグレーアウトしないバグを修正します

  - Enigma：取り消されたキーで暗号化しようとするときのエラーメッセージを修正します（#6607）

  - Enigma：「decryption oracle」バグ[CVE-2019-10740]を修正します（#6638）

  - kolab/net_ldap3 > 1.0.7との互換性を修正します（#6785）

  - 一部のシステムでbmp画像が表示されないバグを修正します（#6728）

  - 無効な正規表現によるPHP 7.3を使用するvCardデータ解析におけるバグを修正します（#6744）

  - htmlからテキストへの変換の際に太字/強調テキストが大文字に変換されるバグを修正します（6758）

  - rcube_utils: : parse_hosts()で、％t、％d、％zがtldのみを返す可能性があるバグを修正します（#6746）

  - メールビューの[次へ]/[戻る]ボタンがマルチフォルダ検索結果で機能しないバグを修正します（#6793）

  - メッセージリストの列の選択が機能しないバグを修正します

  - マルチページTiff画像をJpegに変換する際のバグを修正します（#6824）

  - マルチフォルダの検索結果に戻った後のメッセージの順序の間違いを修正します（#6836）

  - PHP 7.4 deprecation: implode()による誤ったパラメーターの順序を修正します（#6866）

  - 次の位置をバイパスできるバグを修正します：受信メッセージの修正済みCSSチェック（#6898）

  - URL内のいくつかの厳しいリモートのurl()スタイルが意図せずにブロックされる不具合を修正します（#6899）

  - 次を使用するHTMLメッセージ内のCSS jailをバイパスできるバグを修正します：root疑似クラス（#6897）

  - 次のデータでhref URIチェックをバイパスできるバグを修正します：アプリケーション/xhtml+xmlのURI（#6896）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2022:10148-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.3.10より前の Roundcube Webmail では、S/MIME または PGP で暗号化されたメールを所有する攻撃者が、細工されたマルチパートメール内のサブパートとして、それらのメールをラップする可能性があります。暗号化部分は、HTML/CSSまたはASCII改行文字を使用してさらに非表示にすることができます。この変更されたマルチパートメールは、攻撃者が意図された受信者に再送信する可能性があります。受信者がこの (一見無害な) メールに返信すると、知らないうちに暗号化メッセージ部分の平文が攻撃者に漏洩されます。(CVE-2019-10740)

  - 1.4.4より前の Roundcube Webmail の rcube_image.php では、攻撃者が im_convert_path または im_identify_path の構成設定でシェルのメタ文字を介して任意のコードを実行する可能性があります。(CVE-2020-12641)

  - 1.3.15および 1.4.8より前の Roundcube Webmail では、細工された SVG ドキュメントを介して、メッセージ表示中に、HTML メッセージで蓄積型 XSS が可能です。この問題は、1.4.8 および 1.3.15で修正されました。(CVE-2020-16145)

  - 1.2.13より前の Roundcube Webmail、1.3.16 より前の 1.3.x、1.4.10 より前の 1.4.xで XSS の問題が発見されました。攻撃者は、リンク参照要素の JavaScript が rcube_string_replacer.php の linkref_addindex によって誤って処理されると、プレーンテキストの電子メールメッセージを送信できます。(CVE-2020-35730)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.3.10より前の Roundcube Webmail では、S/MIME または PGP で暗号化されたメールを所有する攻撃者が、細工されたマルチパートメール内のサブパートとして、それらのメールをラップする可能性があります。暗号化部分は、HTML/CSSまたはASCII改行文字を使用してさらに非表示にすることができます。この変更されたマルチパートメールは、攻撃者が意図された受信者に再送信する可能性があります。受信者がこの (一見無害な) メールに返信すると、知らないうちに暗号化メッセージ部分の平文が攻撃者に漏洩されます。(CVE-2019-10740)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
141069	openSUSEセキュリティ更新プログラム：roundcubemail（openSUSE-2020-1516）	Nessus	SuSE Local Security Checks	2020/9/30	2024/2/16	critical
128580	Fedora 29：roundcubemail（2019-d9c2f1ec70）	Nessus	Fedora Local Security Checks	2019/9/9	2024/4/26	high
166198	openSUSE 15 セキュリティ更新: roundcubemail(openSUSE-SU-2022:10148-1)	Nessus	SuSE Local Security Checks	2022/10/18	2023/6/22	critical
250530	Linux Distros のパッチ未適用の脆弱性: CVE-2019-10740	Nessus	Misc.	2025/8/18	2025/8/18	medium

検出

プラグインの検索

critical

high

critical

medium