リモートの Ubuntu 16.04LTS / 18.04LTS / 20.04LTS / 22.04LTS / 26.04LTS ホストには、USN-8504-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    SOGo が、イベント、タスク、連絡先に使用されるカテゴリを適切にサニタイズしないことが判明しました。認証されたリモートの攻撃者がこの問題を利用して、クロスサイトスクリプティング攻撃を仕掛ける可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 26.04 LTS のみです。
    (CVE-2025-71276)

    SOGo がヒントクエリパラメーターを適切にサニタイズしていないことが判明しました。リモートの攻撃者が、この問題を利用して、クロスサイトスクリプティング攻撃を仕掛ける可能性があります。この問題の影響を受けるのは、Ubuntu 26.04 LTS のみです。(CVE-2026-3054)

    ユーザーがワンタイムパスワードを無効にしてから再度有効にした場合、SOGo がワンタイムパスワードを更新せず、推奨よりも短い長さを使用することが判明しました。リモート攻撃者がこの問題を悪用して、認証をバイパスする可能性があります。この問題の影響を受けるのは、Ubuntu 22.04 LTS と Ubuntu 26.04 LTS のみです。(CVE-2026-33550)

    SOGo がユーザーソース用の SQL アダプターを適切に使用せず、特定のデータベースが使用される場合に SQL インジェクションが発生することが判明しました。認証されたリモートの攻撃者が、この問題を利用して、機密情報を取得したり、任意の SQL コマンドを実行したりする可能性があります。(CVE-2026-46445、 CVE-2026-46446)

    SOGo が、ICS カレンダーの招待状を含むメールを適切にサニタイズしていないことが判明しました。リモートの攻撃者が、この問題を利用して、クロスサイトスクリプティング攻撃を仕掛ける可能性があります。この問題の影響を受けるのは、Ubuntu 26.04 LTS のみです。(CVE-2026-8496)

    SOGo が、アクセス制御リストを管理する際に、識別子を適切に検証していないことが判明しました。認証されたリモートの攻撃者がこの問題を悪用してSQLインジェクション攻撃を実行し、秘密情報を取得する可能性があります。(CVE-2026-8851)

    SOGo がテーマパラメーターを適切にサニタイズしていないことが判明しました。リモートの攻撃者が、この問題を利用して、クロスサイトスクリプティング攻撃を仕掛ける可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS のみです。(CVE-2025-63499)

    SOGo がログインページの userName パラメーターを適切にサニタイズしていないことが判明しました。リモートの攻撃者が、この問題を利用して、クロスサイトスクリプティング攻撃を仕掛ける可能性があります。この問題は、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、および Ubuntu 22.04 LTS にのみ影響を与えます。(CVE-2025-63498)

    SOGo が添付ファイルをプレビューする際に適切にサニタイズしないことが判明しました。リモートの攻撃者が、この問題を利用して、クロスサイトスクリプティング攻撃を仕掛ける可能性があります。この問題は、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、および Ubuntu 22.04 LTS にのみ影響を与えます。(CVE-2024-34462)

    SAML が認証に使用されたときに、SOGo が受信した SAML アサーションの署名を検証しないことが判明しました。リモートの攻撃者がこの問題を利用して、他のユーザーになりすます可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS のみです。(CVE-2021-33054)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Alinto SOGo バージョン 5.12.7 にクロスサイトスクリプティング(XSS)の脆弱性が存在します。悪意を持って細工された ICS カレンダー招待ファイルにより、認証されている SOGo webmail セッション内で任意の JavaScript の実行が可能になります。この問題が発生する原因は、onrepeat イベントハンドラーのある ICS ファイルの説明フィールドに埋め込まれた SVG コンテンツが、Web メールインターフェイスでレンダリングされる前に十分にサニタイズされないことです。リモートの攻撃者は、悪意のあるカレンダーの招待状が表示されたときに、被害者のブラウザで JavaScript を実行することができます。悪用に成功すると、メールボックスへのアクセス、電子メールや連絡先の窃盗、セッションハイジャック、および認証されたユーザーが許可したその他のアクションが可能になる場合があります。(CVE-2026-8496)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのDebian 11ホストには、dla-4657アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4657-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2026年6月29日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ:sogo バージョン:5.8.0-2+deb12u3 CVE ID: CVE-2026-46445 CVE-2026-46446 CVE-2025-71276 CVE-2026-33550 CVE-2026-8496 CVE-2026-8851 Debian バグ:1131605 1131606

    オープンソースの Web メールおよびグループウェアサーバーである sogo で、複数の脆弱性が発見されました:

    * CVE-2026-46445:PostgreSQL がユーザーデータベースとして使用される際の SQL インジェクションの脆弱性。

    * CVE-2026-46446:MariaDB または PostgreSQL がユーザーデータベースとして使用され、パスワードが平文で保存されている場合の SQL インジェクションの脆弱性に対処します。

    * CVE-2025-71276:イベント、タスク、連絡先のカテゴリでのクロスサイトスクリプティング(XSS)の脆弱性を修正します。

    * CVE-2026-33550:ユーザーが TOTP を無効/有効にした場合、さまざまな値が更新されない、推奨される TOTP 長に関する問題を含む、多数の時間ベースのワンタイムパスワード(TOTP)の脆弱性に対処します。

    * CVE-2026-8496:悪意のある細工された .ICS カレンダー招待ファイルにより、認証された webmail セッション内で、任意の JavaScript 実行が可能でした。

    * CVE-2026-8851:アクセスコントロールリスト管理機能における SQL インジェクションの脆弱性を修正します。この脆弱性により、認証されたユーザーが、addUserInAcls エンドポイントの uid パラメーターを通じて SQL サブクエリを注入することで、データベースから任意のデータを抽出できる可能性がありました。

    さらに、パッチが追加され、メッセージサブジェクトレンダリングのクロスサイトスクリプティング(XSS)の脆弱性が修正されました。

    Debian 11 bullseye では、これらの問題はバージョン 5.8.0-2+deb12u3 で修正されました。

    sogo パッケージをアップグレードすることを推奨します。

    この更新を作成してくれた Peter Wienemann <wiene@debian.org> 氏に感謝の意を表します。

    sogo の詳細なセキュリティステータスについては、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/sogo

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 13ホストには、dsa-6366アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6366-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 6 月 25 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:sogo CVE ID: CVE-2025-71276 CVE-2026-3054 CVE-2026-8496 CVE-2026-8851 CVE-2026-33550 CVE-2026-46445 CVE-2026-46446

    SOGo グループウェアサーバーに、クロスサイトスクリプティングまたは SQL インジェクションを引き起こす可能性がある複数のセキュリティの脆弱性が発見されました。

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 5.12.1-3+deb13u2 で修正されています。

    sogo パッケージをアップグレードすることを推奨します。

    sogo の詳細なセキュリティステータスについては、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/sogo

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
325422	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 26.04 LTS:SOGo の脆弱性(USN-8504-1)	Nessus	Ubuntu Local Security Checks	2026/7/7	2026/7/7	high
314652	Linux Distros のパッチ未適用の脆弱性: CVE-2026-8496	Nessus	Misc.	2026/5/14	2026/8/5	medium
323707	Debian DLA-4657:sogo - セキュリティ更新	Nessus	Debian Local Security Checks	2026/6/29	2026/6/29	high
323061	Debian DSA-6366:sogo - セキュリティ更新	Nessus	Debian Local Security Checks	2026/6/26	2026/7/21	high

検出

プラグインの検索

high

medium

high

high