Upstream announcement :

**Version 1.3.6**

This is a security update to the stable version 1.3. It primarily fixes a recently discovered IMAP command injection vulnerability caused by insufficient input validation within the archive plugin.
Details about the vulnerability are published under CVE-2018-9846.

Additionally, we back-ported some minor fixes from the master branch which improve PHP 7.2 compatibility as well as PGP signing and key handling for those who use the Enigma plugin. See the complete changelog below.

We strongly recommend to update all productive installations of Roundcube. Please do backup your data before updating!

**CHANGELOG**

  - Fix parsing date strings (e.g. from a Date: mail header)     with comments (#6216)

  - Fix PHP 7.2: count(): Parameter must be an array in     enchant-based spellchecker (#6234)

  - Fix possible IMAP command injection and type juggling     vulnerabilities (#6229)

  - Enigma: Fix key selection for signing

  - Enigma: Enable keypair generation on Internet Explorer     11

  - Fix check_request() bypass in places using get_uids()     [CVE-2018-9846] (#6238)

  - Fix bug where usernames without domain part could be     malformed or converted to lower-case on logon (#6224)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Andrea Basile discovered that the 'archive' plugin in roundcube, a skinnable AJAX based webmail solution for IMAP servers, does not properly sanitize a user-controlled parameter, allowing a remote attacker to inject arbitrary IMAP commands and perform malicious actions.

Andrea Basile 發現 roundcube (可換膚的 AJAX 型 IMAP 伺服器 webmail 解決方案) 的「archive」外掛程式未正確清理使用者控制的參數，遠端攻擊者可藉此插入任意 IMAP 命令並執行惡意動作。

Upstreamの発表：

**バージョン 1.3.6**

これは、安定版（stable）バージョン1.3のセキュリティ更新です。これは、主に、アーカイブプラグイン内の不十分な入力検証によって引き起こされる最近発見されたIMAPコマンドインジェクションの脆弱性を修正します。
脆弱性の詳細は、CVE-2018-9846で公開されています。

加えて、PHP 7.2の互換性と、Enigmaプラグインを使用するユーザー向けのPGP署名およびキー処理を改善する、マスターブランチからのいくつかのマイナーな修正をバックポートしました。以下の完全な変更ログを参照してください。

Roundcubeのすべての実稼働インストールを更新することを強くお勧めします。更新する前に、データのバックアップを行ってください！

**変更ログ**

  - コメント付きの日付文字列（Date: メールヘッダーからなど）の解析を修正します（#6216）

  - PHP 7.2を修正します：count()：パラメーターは、enchantベースのスペルチェッカー内の配列にする必要があります（#6234）

  - 可能性のあるIMAPコマンドインジェクションとタイプジャグリングの脆弱性を修正します（#6229）

  - Enigma：署名のためのキー選択を修正します

  - Enigma：Internet Explorer 11でキーペアの生成を有効にします

  - get_uids()を使用する場所でのcheck_request()のバイパスを修正します[CVE-2018-9846]（#6238）

  - ドメイン部分のないユーザー名がログオン時に不正な形式または小文字に変換される可能性のあるバグを修正します（#6224）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Andrea Basile 发现 IMAP 服务器基于 AJAX 的可换肤 webmail 解决方案 roundcube 中的“archive”插件未正确清理某个用户控制的参数，从而允许远程攻击者注入任意 IMAP 命令并执行恶意操作。

Andrea Basile氏は、IMAPサーバー用のスキン変更可能なAJAXベースのWebメールソリューションであるroundcubeの「archive」プラグインが、ユーザー制御のパラメーターを適切にサニタイズしないために、リモート攻撃者が任意のIMAPコマンドを注入し、悪意のある操作を実行できることを発見しました。

Upstream reports :

This update primarily fixes a recently discovered IMAP-cmd-injection vulnerability caused by insufficient input validation within the archive plugin. Details about the vulnerability are published under CVE-2018-9846.

Upstreamによる報告：

この更新により、アーカイブプラグイン内の不十分な入力検証によって引き起こされる、最近発見されたIMAP-cmd-injectionの脆弱性が主に修正されます。脆弱性の詳細はCVE-2018-9846で公開されています。

Upstreamの発表：

**バージョン 1.3.6**

これは、安定版（stable）バージョン1.3のセキュリティ更新です。これは、主に、アーカイブプラグイン内の不十分な入力検証によって引き起こされる最近発見されたIMAPコマンドインジェクションの脆弱性を修正します。
脆弱性の詳細は、CVE-2018-9846で公開されています。

加えて、PHP 7.2の互換性と、Enigmaプラグインを使用するユーザー向けのPGP署名およびキー処理を改善する、マスターブランチからのいくつかのマイナーな修正をバックポートしました。以下の完全な変更ログを参照してください。

Roundcubeのすべての実稼働インストールを更新することを強くお勧めします。更新する前に、データのバックアップを行ってください！

**変更ログ**

  - 日付文字列の解析を修正します（例：Date：メールヘッダー）の解析を修正します（#6216）

  - PHP 7.2を修正します：count()：パラメーターは、enchantベースのスペルチェッカー内の配列にする必要があります（#6234）

  - 可能性のあるIMAPコマンドインジェクションとタイプジャグリングの脆弱性を修正します（#6229）

  - Enigma：署名のためのキー選択を修正します

  - Enigma：Internet Explorer 11でキーペアの生成を有効にします

  - get_uids()を使用する場所でのcheck_request()のバイパスを修正します[CVE-2018-9846]（#6238）

  - ドメイン部分のないユーザー名がログオン時に不正な形式または小文字に変換される可能性のあるバグを修正します（#6224）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Upstreamの発表：

**バージョン 1.3.6**

これは、安定版（stable）バージョン1.3のセキュリティ更新です。これは、主に、アーカイブプラグイン内の不十分な入力検証によって引き起こされる最近発見されたIMAPコマンドインジェクションの脆弱性を修正します。
脆弱性の詳細は、CVE-2018-9846で公開されています。

加えて、PHP 7.2の互換性と、Enigmaプラグインを使用するユーザー向けのPGP署名およびキー処理を改善する、マスターブランチからのいくつかのマイナーな修正をバックポートしました。以下の完全な変更ログを参照してください。

Roundcubeのすべての実稼働インストールを更新することを強くお勧めします。更新する前に、データのバックアップを行ってください！

**変更ログ**

  - コメント付きの日付文字列（例：日付：メールヘッダーから）の解析を修正します（#6216）

  - PHP 7.2を修正します：count()：パラメーターは、enchantベースのスペルチェッカー内の配列にする必要があります（#6234）

  - 可能性のあるIMAPコマンドインジェクションとタイプジャグリングの脆弱性を修正します（#6229）

  - Enigma：署名のためのキー選択を修正します

  - Enigma：Internet Explorer 11でキーペアの生成を有効にします

  - get_uids()を使用する場所でのcheck_request()のバイパスを修正します[CVE-2018-9846]（#6238）

  - ドメイン部分のないユーザー名がログオン時に不正な形式または小文字に変換される可能性のあるバグを修正します（#6224）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名稱	產品	系列	已發布	已更新	嚴重性
109222	Fedora 27 : roundcubemail (2018-57fbdb1cb5)	Nessus	Fedora Local Security Checks	2018/4/23	2024/10/29	high
109410	Debian DSA-4181-1 : roundcube - security update	Nessus	Debian Local Security Checks	2018/4/30	2024/10/16	high
109410	Debian DSA-4181-1：roundcube - 安全性更新	Nessus	Debian Local Security Checks	2018/4/30	2024/10/16	high
109222	Fedora 27：roundcubemail（2018-57fbdb1cb5）	Nessus	Fedora Local Security Checks	2018/4/23	2024/10/29	high
109410	Debian DSA-4181-1：roundcube - 安全更新	Nessus	Debian Local Security Checks	2018/4/30	2024/10/16	high
109410	Debian DSA-4181-1 : roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	2018/4/30	2024/10/16	high
109227	Fedora 26 : roundcubemail (2018-f6dc921a19)	Nessus	Fedora Local Security Checks	2018/4/23	2024/10/29	high
109052	FreeBSD : roundcube -- IMAP command injection vulnerability (48894ca9-3e6f-11e8-92f0-f0def167eeea)	Nessus	FreeBSD Local Security Checks	2018/4/16	2024/11/4	high
120762	Fedora 28 : roundcubemail (2018-c279b3696f)	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/1	high
109052	FreeBSD: roundcube -- IMAPのコマンドインジェクションの脆弱性（48894ca9-3e6f-11e8-92f0-f0def167eeea）	Nessus	FreeBSD Local Security Checks	2018/4/16	2024/11/4	high
109227	Fedora 26：roundcubemail（2018-f6dc921a19）	Nessus	Fedora Local Security Checks	2018/4/23	2024/10/29	high
120762	Fedora 28：roundcubemail（2018-c279b3696f）	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/1	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high