IMAP 伺服器的 webmail 解決方案 Roundcube 容易受到跨網站指令碼 (XSS) 弱點攻擊，可透過 SVG 元素或 HTML 訊息中的特製階層式樣式表 (CSS) 權杖序列發動該攻擊。針對 Debian 7「Wheezy」，這些問題已在 0.7.2-9+deb7u6 版本中修正。建議您升級 roundcube 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Ubuntu 16.04 LTS/18.04 LTS 主機上安裝的套件受到 USN-8132-1 公告中所提及的多個弱點影響。

    發現 Roundcube Webmail 未正確清理

    電子郵件內文中的某些 HTML 元素。攻擊者可能

    利用此問題造成跨網站指令碼攻擊。此問題僅在

    已在 Ubuntu 16.04 LTS 中解決。 (CVE-2016-4068、 CVE-2016-4069)

    發現 Roundcube Webmail 並未正確處理

    組態參數。攻擊者可能會利用此問題

    執行任意程式碼。這個問題只在 Ubuntu 16.04 LTS 中獲得解決。

    (CVE-2016-9920)

    據發現Roundcube Webmail 未正確清理 CSS 樣式

    SVG 文件中的一個弱點。攻擊者可能會利用此問題

    跨網站指令碼攻擊。此問題僅在 Ubuntu 16.04 LTS 中得到了解決。(CVE-2017-6820)

    據發現Roundcube Webmail 未正確限制 中的 exec 呼叫

    password 外掛程式的某些驅動程式。經驗證的使用者可能

    利用此問題執行任意密碼重設。這個問題只在

    Ubuntu 16.04 LTS 中的 tomcat10 中修復。(CVE-2017-8114)

    據發現Roundcube Webmail 未在

    Enigma 外掛程式。攻擊者可能會利用此問題洩漏 GPG 私密

    透過網路連線建立金鑰。 (CVE-2018-1000071)

    發現 Roundcube Webmail 未正確處理 GnuPG MDC

    完整性保護警告。攻擊者可能會利用此問題取得

    加密通訊中的敏感資訊。 (CVE-2018-19205)

    據發現Roundcube Webmail 未正確清理 HTML 附件內的 <svg> 和 <style> 標籤。攻擊者可能會利用此問題造成

    跨網站指令碼攻擊。 (CVE-2018-19206)

    據發現Roundcube Webmail 未正確處理部分加密的 multipart 訊息。
    攻擊者可能會利用此問題

    透過電子郵件回覆洩漏加密訊息的純文字。 (CVE-2019-10740)

    據發現Roundcube Webmail 未正確清理特定參數

    封存外掛程式中。攻擊者可能會利用此問題執行

    IMAP 插入攻擊。此問題僅在 Ubuntu 16.04 LTS 中得到了解決。(CVE-2018-9846)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

IMAP 服务器的 Webmail 解决方案 Roundcube 容易受到由 SVG 元素或 HTML 消息中特制的级联样式表 (CSS) 令牌序列导致的跨站脚本 (XSS) 漏洞影响。对于 Debian 7“Wheezy”，这些问题已在 0.7.2-9+deb7u6 版本中修复。建议您升级 roundcube 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

远程 Ubuntu 16.04 LTS/18.04 LTS 主机上安装的程序包受到 USN-8132-1 公告中提及的多个漏洞的影响。

    发现 Roundcube Webmail 未正确审查

    电子邮件正文中的某些 HTML 元素。攻击者可能

    可利用此问题造成跨站脚本攻击。此问题仅适用于

    已在 Ubuntu 16.04 LTS 中解决。CVE-2016-4068、 CVE-2016-4069

    发现 Roundcube Webmail 未能正确处理某些

    配置参数。攻击者可能利用此问题

    执行任意代码。这个问题只在 Ubuntu 16.04 LTS 中得到解决。

    (CVE-2016-9920)

    发现 Roundcube Webmail 未能正确审查 CSS 样式

    在 SVG 文档中。攻击者可能利用此问题造成

    跨站脚本攻击。这个问题只在 Ubuntu 16.04 LTS 中得到解决。(CVE-2017-6820)

    发现 Roundcube Webmail 未正确限制 中的 exec 调用

    密码插件的某些驱动程序。经过认证的用户可能

    利用此问题执行任意密码重置。仅在

    Ubuntu 16.04 LTS 上的 tomcat10，已修复此问题。(CVE-2017-8114)

    发现 Roundcube Webmail 未能正确设置 内的文件权限

    Enigma 插件。攻击者可能利用此问题来窃取 GPG 隐私

    密钥。 (CVE-2018-1000071)

    发现 Roundcube Webmail 未正确处理 GnuPG MDC

    完整性保护警告。攻击者可能利用此问题获取

    来自加密通信的敏感信息。 (CVE-2018-19205)

    据发现Roundcube Webmail 未正确审查 HTML 附件中的 <svg> 和 <style> 标签。攻击者可能利用此问题造成

    跨站脚本攻击。 (CVE-2018-19206)

    已发现 Roundcube Webmail 未正确处理部分加密的多部分消息。
    攻击者可能利用此问题造成

    通过电子邮件回复泄漏加密消息的明文。 (CVE-2019-10740)

    发现 Roundcube Webmail 未正确审查某个参数

    在 archive 插件中。攻击者可能利用此问题执行

    IMAP 注入攻击。这个问题只在 Ubuntu 16.04 LTS 中得到解决。(CVE-2018-9846)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

IMAPサーバー用のWebメールソリューションであるRoundcubeは、SVG要素またはHTMLメッセージ内の細工されたCascading Style Sheets（CSS）のトークンシーケンスを通じて、クロスサイトスクリプティング（XSS）の脆弱性の影響を受けやすいという問題がありました。

Debian 7「Wheezy」では、これらの問題はバージョン0.7.2-9+deb7u6で修正されました。

お使いの roundcube パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Ubuntu 16.04 LTS / 18.04 LTS ホストには、USN-8132-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Roundcube Webmail が適切にサニタイズしないことが発見されました。

    あることが判明されました。攻撃者が

    クロスサイトスクリプティング攻撃を引き起こすために、この問題を利用します。この問題は、

    Ubuntu 16.04 LTS で対処されました。CVE-2016-4068、 CVE-2016-4069

    Roundcube Webmail が特定の状況を適切に処理していないことが判明しました。

    構成パラメーター。攻撃者がこの問題を悪用して、

    任意のコードを実行したりする可能性があります。この問題は Ubuntu 16.04 LTS のみで対処されました。

    (CVE-2016-9920)

    Roundcube Webmail が CSS スタイルを適切にサニタイズしないことが発見されました

    SVG ドキュメント内で発見しました。攻撃者がこの問題を悪用して、

    クロスサイトスクリプティング攻撃が引き起こされる可能性があります。この問題は Ubuntu 16.04 LTS のみで対処されました。(CVE-2017-6820)

    Roundcube Webmail が exec 呼び出しを適切に制限していないことが判明しました。

    パスワードプラグインの特定のドライバーを対象としています。認証されたユーザーが、

    任意のパスワードのリセットを実行するのにこの問題を利用します。この問題は、

    Ubuntu 16.04 LTS のみです。(CVE-2017-8114)

    Roundcube Webmail がファイルの権限を適切に設定していないことが判明しました。

    Enigma プラグイン。攻撃者が、この問題を利用して、GPG をプライベートに抽出する可能性があります。

    ネットワーク接続を介してキーを実行する可能性があります。CVE-2018-1000071

    Roundcube Webmail が GnuPG MDC を適切に処理していないことが判明しました

    整合性保護の警告を表示します。攻撃者がこの問題を利用し、

    暗号化された通信からの機密情報を漏洩する可能性があります。CVE-2018-19205

    Roundcube Webmail が HTML 添付ファイル内の <svg> および <style> タグを適切にサニタイズしないことが発見されました。攻撃者がこの問題を悪用して、

    クロスサイトスクリプティング攻撃。CVE-2018-19206

    Roundcube Webmail が、部分的に暗号化されたマルチパートメッセージを適切に処理していないことが判明しました。
    攻撃者がこの問題を悪用して、

    電子メールの返信を介して、暗号化されたメッセージの平文が漏洩する脆弱性。CVE-2019-10740

    Roundcube Webmail が特定のパラメーターを適切にサニタイズしないことが判明しました

    可能性があります。攻撃者がこの問題を利用して、

    IMAP インジェクション攻撃この問題は Ubuntu 16.04 LTS のみで対処されました。(CVE-2018-9846)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

このroundcubemail 1.1.8への更新では、セキュリティ問題とバグが修正されます。

次の脆弱性が修正されました：

  - CVE-2017-6820：svg要素内のスタイルタグの処理におけるXSS問題（boo#1029035）

次のバグが修正されました：

  - メールコンテンツフレームを一部のコーナーケースでリセットできないバグ

  - 電子メールアドレスを持っているグループがそのメンバーのアドレスに解決される回帰

  - グループ/アドレス帳の選択がページを更新しても保持されます

  - Firefox 51では、見積もりの上に署名を追加できませんでした

  - log_date_formatのマイクロ秒マクロ（u）が機能します

Roundcube, a webmail solution for IMAP servers, was susceptible to a cross-site-scripting (XSS) vulnerability via a crafted Cascading Style Sheets (CSS) token sequence within an SVG element or HTML message.

For Debian 7 'Wheezy', these problems have been fixed in version 0.7.2-9+deb7u6.

We recommend that you upgrade your roundcube packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Ubuntu 16.04 LTS / 18.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-8132-1 advisory.

    It was discovered that Roundcube Webmail did not properly sanitize

    certain HTML elements within the e-mail body. An attacker could possibly

    use this issue to cause a cross-site scripting attack. This issue was only

    addressed in Ubuntu 16.04 LTS. (CVE-2016-4068, CVE-2016-4069)

    It was discovered that Roundcube Webmail did not properly handle certain

    configuration parameters. An attacker could possibly use this issue to

    execute arbitrary code. This issue was only addressed in Ubuntu 16.04 LTS.

    (CVE-2016-9920)

    It was discovered that Roundcube Webmail did not properly sanitize CSS styles

    within SVG documents. An attacker could possibly use this issue to cause

    a cross-site scripting attack. This issue was only addressed in Ubuntu 16.04 LTS. (CVE-2017-6820)

    It was discovered that Roundcube Webmail did not properly restrict exec call in

    certain drivers of the password plugin. An authenticated user could possibly

    use this issue to perform arbitrary password resets. This issue was only addressed in

    Ubuntu 16.04 LTS. (CVE-2017-8114)

    It was discovered that Roundcube Webmail did not properly set file permissions within

    the Enigma plugin. An attacker could possibly use this issue to exfiltrate GPG private

    keys via network connectivity. (CVE-2018-1000071)

    It was discovered that Roundcube Webmail did not properly handle GnuPG MDC

    integrity-protection warnings. An attacker could possibly use this issue to obtain

    sensitive information from encrypted communications. (CVE-2018-19205)

    It was discovered that Roundcube Webmail did not properly sanitize <svg> and <style> tags within HTML     attachments. An attacker could possibly use this issue to cause a

    cross-site scripting attack. (CVE-2018-19206)

    It was discovered that Roundcube Webmail did not properly handle partially encrypted multipart messages.
    An attacker could possibly use this issue to cause

    leaking of the plaintext of encrypted messages via an email reply. (CVE-2019-10740)

    It was discovered that Roundcube Webmail did not properly sanitize a certain parameter

    within the archive plugin. An attacker could possibly use this issue to perform an

    IMAP injection attack. This issue was only addressed in Ubuntu 16.04 LTS. (CVE-2018-9846)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

This update to roundcubemail 1.1.8 fixes security issues and bugs.

The following vulnerability was fixed :

  - CVE-2017-6820: XSS issue in handling of a style tag     inside of an svg element (boo#1029035)

The following bugs were fixed :

  - bug where mail content frame couldn't be reset in some     corner cases

  - regression where groups with email address were resolved     to its members' addresses

  - group/addressbook selection is retained on page refresh

  - signature couldn't be added above the quote in Firefox     51

  - microseconds macro (u) in log_date_format works

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
97698	Debian DLA-855-1：roundcube 安全性更新	Nessus	Debian Local Security Checks	2017/3/14	2025/12/30	medium
304432	Ubuntu 16.04 LTS / 18.04 LTSRoundcube Webmail 弱點 (USN-8132-1)	Nessus	Ubuntu Local Security Checks	2026/3/31	2026/3/31	high
97698	Debian DLA-855-1：roundcube 安全更新	Nessus	Debian Local Security Checks	2017/3/14	2025/12/30	medium
304432	Ubuntu 16.04 LTS / 18.04 LTSRoundcube Webmail 漏洞 (USN-8132-1)	Nessus	Ubuntu Local Security Checks	2026/3/31	2026/3/31	high
97698	Debian DLA-855-1: roundcubeセキュリティ更新	Nessus	Debian Local Security Checks	2017/3/14	2025/12/30	medium
304432	Ubuntu 16.04 LTS / 18.04 LTSRoundcube Webmail の脆弱性USN-8132-1	Nessus	Ubuntu Local Security Checks	2026/3/31	2026/3/31	high
97819	openSUSEセキュリティ更新プログラム：roundcubemail（openSUSE-2017-355）	Nessus	SuSE Local Security Checks	2017/3/20	2025/12/29	medium
97698	Debian DLA-855-1 : roundcube security update	Nessus	Debian Local Security Checks	2017/3/14	2025/12/30	medium
304432	Ubuntu 16.04 LTS / 18.04 LTS : Roundcube Webmail vulnerabilities (USN-8132-1)	Nessus	Ubuntu Local Security Checks	2026/3/31	2026/3/31	high
97819	openSUSE Security Update : roundcubemail (openSUSE-2017-355)	Nessus	SuSE Local Security Checks	2017/3/20	2025/12/29	medium

检测

插件搜索

medium

high

medium

high

medium

high

medium

medium

high

medium