RoundcubeのXSS脆弱性とCookie Tossingの組み合わせによる受信箱全体へのアクセス

【なぜ重要か】 Roundcubeは世界で最も広く使われているオープンソースWebメールクライアントです。今回発見された脆弱性は、一見無害なSelf-XSSとCookie Tossing技術を組み合わせることで、攻撃者が被害者の受信箱に完全にアクセスし、さらにそのメールアドレスを使用する他のアカウントまで乗っ取れる危険なものです。

【ポイント】

• メール作成時の一時添付ファイル表示エンドポイント（display-attachment）でHTMLファイルがサニタイズやCSPなしで実行される格納型XSS脆弱性
• Cookie TossingによりSelf-XSSの制約を回避：同一ドメインのサブドメインでXSSを実行し、Domain属性を使って攻撃者のセッションクッキーを被害者のブラウザに設定
• Path属性を活用した巧妙な手法で、XSSペイロード実行時は攻撃者のセッション、その後のリクエストでは被害者のセッションを使い分け
• メールアクセス権限により、パスワードリセットやマジックリンクを悪用して他のWebサービスのアカウントも連鎖的に乗っ取り可能
• 追加でIMAPコマンドインジェクション脆弱性も発見：CRLFインジェクションによりフォルダ作成やメール削除などの任意IMAPコマンド実行が可能

【まとめ】 複数の技術を組み合わせた巧妙な攻撃手法により、軽微に見える脆弱性が重大な影響をもたらす事例です。Roundcubeを使用している場合は、バージョン1.6.14以降または1.5.14以降にアップデートしてください。