Multiple CSRF and XSS issues allow remote attackers to hijack the authentication and execute roundcube operations without the consent of the user. In some cases, this could result in data loss or data theft.

CVE-2014-9587

Multiple cross-site request forgery (CSRF) vulnerabilities in allow remote attackers to hijack the authentication of unspecified victims via unknown vectors, related to (1) address book operations or the (2) ACL or (3) Managesieve plugins.

CVE-2015-1433

Incorrect quotation logic during sanitization of style HTML attribute allows remote attackers to execute arbitrary JavaScript code on the user's browser. CVE-2016-4069

Cross-site request forgery (CSRF) vulnerability allows remote attackers to hijack the authentication of users for requests that download attachments and cause a denial of service (disk consumption) via unspecified vectors.

For Debian 7 'Wheezy', these problems have been fixed in version 0.7.2-9+deb7u.

We recommend that you upgrade your roundcube packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

複数の CSRF および XSS 問題により、リモートの攻撃者が認証をハイジャックし、ユーザーの同意なしに roundcube 操作を実行することが可能です。場合によっては、これによりデータが消失したり漏洩したりする可能性があります。

CVE-2014-9587

複数のクロスサイトリクエスト偽造（CSRF）の脆弱性により、（1）アドレスブック操作または（2）ACL または（3）Managesieve プラグインに関係する未知のベクトルを通じて、リモートの攻撃者が特定されない被害者の認証をハイジャックする可能性があります。

CVE-2015-1433

スタイル HTML 属性のサニタイズの中の引用符ロジックが誤っているために、リモートの攻撃者がユーザーのブラウザで任意の JavaScript コードを実行することが可能です。CVE-2016-4069

クロスサイトリクエスト偽造（CSRF）の脆弱性のために、リモートの攻撃者が添付ファイルをダウンロードするリクエストのためのユーザーの認証をハイジャックして、詳細不明なベクトルを通じてサービス拒否（ディスク消費）を引き起こすことが可能です。

Debian 7「Wheezy」では、これらの問題はバージョン 0.7.2-9+deb7u4 で修正されました。

お使いの roundcube パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

多個 CSRF 和 XSS 問題允許遠端攻擊者劫持驗證，以及未經使用者同意便執行 roundcube 作業。在某些情況下，這可導致資料缺乏或資料竊取。

CVE-2014-9587

多個跨網站要求偽造 (CSRF) 弱點允許遠端攻擊者透過未知向量劫持不明受害者的驗證，這與 (1) 通訊錄作業或 (2) ACL 或 (3) Managesieve 外掛程式有關。

CVE-2015-1433

清理樣式 HTML 屬性期間錯誤的引用邏輯允許遠端攻擊者在使用者的瀏覽器中執行任意 JavaScript 程式碼。CVE-2016-4069

跨網站要求偽造 (CSRF) 弱點允許遠端攻擊者透過不明向量，針對下載附件要求劫持使用者的驗證，並造成拒絕服務 (磁碟消耗)。

針對 Debian 7「Wheezy」，這些問題已在 0.7.2-9+deb7u4 版本中修正。

建議您升級 roundcube 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

多个 CSRF 和 XSS 问题允许远程攻击者劫持认证，以及未经用户同意便执行 roundcube 操作。在某些情况下，这可导致数据丢失或数据窃取。

CVE-2014-9587

多种跨站请求伪造 (CSRF) 漏洞允许远程攻击者通过与 (1) 通讯簿操作或 (2) ACL 或 (3) Managesieve 插件相关的未知矢量劫持不明受害者的认证。

CVE-2015-1433

审查样式 HTML 属性期间错误的引用逻辑允许远程攻击者在用户的浏览器中执行任意 JavaScript 代码。CVE-2016-4069

跨站请求伪造 (CSRF) 漏洞允许远程攻击者通过不明矢量，针对下载附件请求劫持用户的认证，并造成拒绝服务(磁盘消耗）。

对于 Debian 7“Wheezy”，这些问题已在 0.7.2-9+deb7u4 版本中修复。

建议您升级 roundcube 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Cross-site scripting vulnerability has been fixed in Roundcube 1.0.5 version.

http://roundcube.net/news/2015/01/24/security-update-1.0.5/ http://trac.roundcube.net/wiki/Changelog#RELEASE1.0.5 http://trac.roundcube.net/ticket/1490227

CVE request: http://www.openwall.com/lists/oss-security/2015/01/31/3

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

roundcubemail was updated to version 1.0.5 to fix one security issue.

This security issue was fixed :

  - CVE-2015-1433: program/lib/Roundcube/rcube_washtml.php     in Roundcube before 1.0.5 did not properly quote     strings, which allowed remote attackers to conduct     cross-site scripting (XSS) attacks via the style     attribute in an email (bnc#915789).

Various non-security bugs were resolved in this update. Please see the changes file for details.

クロスサイトスクリプティングの脆弱性は、Roundcube 1.0.5 バージョンで修正されています。

http://roundcube.net/news/2015/01/24/security-update-1.0.5/ http://trac.roundcube.net/wiki/Changelog#RELEASE1.0.5 http://trac.roundcube.net/ticket/1490227

CVE リクエスト：http://www.openwall.com/lists/oss-security/2015/01/31/3

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

roundcubemail は、1 つのセキュリティの問題を修正するためにバージョン 1.0.5 に更新されました。

以下のセキュリティの問題が修正されました。

- CVE-2015-1433：1.0.5 以前の Roundcube での program/lib/Roundcube/rcube_washtml.php は、文字列を適切に引用していませんでした。これにより、リモートの攻撃者は、電子メール内のスタイル属性を通じて、クロスサイトスクリプティング（XSS）攻撃を仕掛けることができました（bnc#915789）。

セキュリティ以外のさまざまなバグが、この更新で解決されました。詳細については、変更ファイルを参照してください。

已修复 Roundcube 1.0.5 版本中的跨站脚本漏洞。

http://roundcube.net/news/2015/01/24/security-update-1.0.5/ http://trac.roundcube.net/wiki/Changelog#RELEASE1.0.5 http://trac.roundcube.net/ticket/1490227

CVE 请求：http://www.openwall.com/lists/oss-security/2015/01/31/3

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

roundcubemail 已更新到 1.0.5 版本，修复了一个安全问题。

修复了此安全问题：

- CVE-2015-1433：低于 1.0.5 的 Roundcube 中的 program/lib/Roundcube/rcube_washtml.php 未正确引用字符串，从而允许远程攻击者通过电子邮件中的样式属性进行跨站脚本 (XSS) 攻击 (bnc#915789)。

此更新中解决了各种非安全缺陷。有关详细信息，请参阅变更文件。

跨網站指令碼弱點已在 Roundcube 1.0.5 版中修正。

http://roundcube.net/news/2015/01/24/security-update-1.0.5/ http://trac.roundcube.net/wiki/Changelog#RELEASE1.0.5 http://trac.roundcube.net/ticket/1490227

CVE 要求：http://www.openwall.com/lists/oss-security/2015/01/31/3

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

roundcubemail 已更新至 1.0.5 版，可修正一個安全性問題。

已修正此安全性問題：

- CVE-2015-1433：在 1.0.5 之前的 Roundcube 中，program/lib/Roundcube/rcube_washtml.php 未正確引用字串，這可讓遠端攻擊者透過電子郵件中的樣式屬性進行跨網站指令碼 (XSS) 攻擊 (bnc#915789)。

此更新解決了多種非安全性錯誤。如需詳細資訊，請參閱變更檔案。

ID	名稱	產品	系列	已發布	已更新	嚴重性
93385	Debian DLA-613-1 : roundcube security update	Nessus	Debian Local Security Checks	2016/9/9	2021/1/11	high
93385	Debian DLA-613-1：roundcube のセキュリティ更新	Nessus	Debian Local Security Checks	2016/9/9	2021/1/11	high
93385	Debian DLA-613-1：roundcube 安全性更新	Nessus	Debian Local Security Checks	2016/9/9	2021/1/11	high
93385	Debian DLA-613-1：roundcube 安全更新	Nessus	Debian Local Security Checks	2016/9/9	2021/1/11	high
81362	Fedora 20 : roundcubemail-1.0.5-1.fc20 (2015-1761)	Nessus	Fedora Local Security Checks	2015/2/16	2021/1/11	medium
81364	Fedora 21 : roundcubemail-1.0.5-1.fc21 (2015-1772)	Nessus	Fedora Local Security Checks	2015/2/16	2021/1/11	medium
81373	openSUSE Security Update : roundcubemail (openSUSE-2015-148)	Nessus	SuSE Local Security Checks	2015/2/16	2021/1/19	medium
81362	Fedora 20：roundcubemail-1.0.5-1.fc20（2015-1761）	Nessus	Fedora Local Security Checks	2015/2/16	2021/1/11	medium
81364	Fedora 21：roundcubemail-1.0.5-1.fc21（2015-1772）	Nessus	Fedora Local Security Checks	2015/2/16	2021/1/11	medium
81373	openSUSE セキュリティ更新：roundcubemail（openSUSE-2015-148）	Nessus	SuSE Local Security Checks	2015/2/16	2021/1/19	medium
81362	Fedora 20：roundcubemail-1.0.5-1.fc20 (2015-1761)	Nessus	Fedora Local Security Checks	2015/2/16	2021/1/11	medium
81364	Fedora 21：roundcubemail-1.0.5-1.fc21 (2015-1772)	Nessus	Fedora Local Security Checks	2015/2/16	2021/1/11	medium
81373	openSUSE 安全更新：roundcubemail (openSUSE-2015-148)	Nessus	SuSE Local Security Checks	2015/2/16	2021/1/19	medium
81362	Fedora 20：roundcubemail-1.0.5-1.fc20 (2015-1761)	Nessus	Fedora Local Security Checks	2015/2/16	2021/1/11	medium
81364	Fedora 21：roundcubemail-1.0.5-1.fc21 (2015-1772)	Nessus	Fedora Local Security Checks	2015/2/16	2021/1/11	medium
81373	openSUSE 安全性更新：roundcubemail (openSUSE-2015-148)	Nessus	SuSE Local Security Checks	2015/2/16	2021/1/19	medium

偵測

搜尋 Plugin

high

high

high

high

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium