遠端 Ubuntu 16.04 LTS/18.04 LTS 主機上安裝的套件受到 USN-8132-1 公告中所提及的多個弱點影響。

    發現 Roundcube Webmail 未正確清理

    電子郵件內文中的某些 HTML 元素。攻擊者可能

    利用此問題造成跨網站指令碼攻擊。此問題僅在

    已在 Ubuntu 16.04 LTS 中解決。 (CVE-2016-4068、 CVE-2016-4069)

    發現 Roundcube Webmail 並未正確處理

    組態參數。攻擊者可能會利用此問題

    執行任意程式碼。這個問題只在 Ubuntu 16.04 LTS 中獲得解決。

    (CVE-2016-9920)

    據發現Roundcube Webmail 未正確清理 CSS 樣式

    SVG 文件中的一個弱點。攻擊者可能會利用此問題

    跨網站指令碼攻擊。此問題僅在 Ubuntu 16.04 LTS 中得到了解決。(CVE-2017-6820)

    據發現Roundcube Webmail 未正確限制 中的 exec 呼叫

    password 外掛程式的某些驅動程式。經驗證的使用者可能

    利用此問題執行任意密碼重設。這個問題只在

    Ubuntu 16.04 LTS 中的 tomcat10 中修復。(CVE-2017-8114)

    據發現Roundcube Webmail 未在

    Enigma 外掛程式。攻擊者可能會利用此問題洩漏 GPG 私密

    透過網路連線建立金鑰。 (CVE-2018-1000071)

    發現 Roundcube Webmail 未正確處理 GnuPG MDC

    完整性保護警告。攻擊者可能會利用此問題取得

    加密通訊中的敏感資訊。 (CVE-2018-19205)

    據發現Roundcube Webmail 未正確清理 HTML 附件內的 <svg> 和 <style> 標籤。攻擊者可能會利用此問題造成

    跨網站指令碼攻擊。 (CVE-2018-19206)

    據發現Roundcube Webmail 未正確處理部分加密的 multipart 訊息。
    攻擊者可能會利用此問題

    透過電子郵件回覆洩漏加密訊息的純文字。 (CVE-2019-10740)

    據發現Roundcube Webmail 未正確清理特定參數

    封存外掛程式中。攻擊者可能會利用此問題執行

    IMAP 插入攻擊。此問題僅在 Ubuntu 16.04 LTS 中得到了解決。(CVE-2018-9846)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

**1.1.5 版** * 外掛程式 API：新增 html2text hook * 外掛程式 API：
新增 addressbook_export 勾點 * 修正從 html 轉換至文字時遺漏表情符號的問題 * 修正登出時隨機出現「存取此資源相當安全，不會受到 CSRF 攻擊」訊息的問題 (#4956) * 修正在 HTML 模式下「新增至字典」要求中遺漏語言名稱的問題 (#4951) * 針對 IMAP 啟用 TLSv1.1 和 TLSv1.2 的使用 (#4955) * 修正 SVG 影像處理過程中的 XSS 問題 (#4949) * 修正 (再度) 密碼外掛程式的 DBMail 驅動程式之安全性問題 (CVE-2015-2181) (#4958) * 修正收件人名稱包含 @- 字元時，剖析長收件人清單過程中發生的錯誤 (#4964)

- 修正 additional_message_headers 外掛程式與 Mail_Mime >= 1.9 的相容性 (#4966) * 不使用 smtp_server 時在偏好設定中隱藏 DSN 選項 (#4967)

- 使用唯一要求 token 保護下載 URL 不受 CSRF 攻擊 (#4957) * newmail_notifier 外掛程式：重構桌面通知 * 修正為可透過組態檔設定 contactlist_fields 選項 * 修正為只有當使用者設定了特殊資料夾，才會強制執行 SPECIAL-USE 指派 (#4782) * 修正還原 THREAD 結果順序的效能 * 修正將含有 www. 的郵件位址轉換
 為 mailto 連結 (#5197)

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

**版本 1.1.5** * 插件 API：添加了 html2text 挂钩 * 插件 API：
添加了 addressbook_export 挂钩 * 修复从 html 转换到文本时缺少表情符号的问题 * 修复注销时随机出现“访问此资源相当安全，不会受到 CSRF 攻击”消息的问题 (#4956) * 修复在 HTML 模式下“添加到字典”请求中缺少语言名称的问题 (#4951) * 针对 IMAP 启用 TLSv1.1 和 TLSv1.2 的使用 (#4955) * 修复 SVG 图像处理过程中的 XSS 问题 (#4949) * 修复（再次）密码插件的 DBMail 驱动程序的安全问题 (CVE-2015-2181) (#4958) * 修复收件人名称包含 @- 字符时，解析长收件人列表过程中的缺陷 (#4964)

- 修复 additional_message_headers 插件与 Mail_Mime >= 1.9 的兼容性 (#4966) * 不使用 smtp_server 时在首选项中隐藏 DSN 选项 (#4967)

- 使用唯一请求标记保护下载 URL 不受 CSRF 攻击 (#4957) * newmail_notifier 插件：重构桌面通知 * 修复为可通过配置文件设置 contactlist_fields 选项 * 修复为仅在用户设置特殊文件夹之前，才会强制执行 SPECIAL-USE 分配 (#4782) * 修复恢复 THREAD 结果顺序时的性能 * 修复将含有 www. 的邮件地址转换
 为 mailto 链接 (#5197)

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Ubuntu 16.04 LTS/18.04 LTS 主机上安装的程序包受到 USN-8132-1 公告中提及的多个漏洞的影响。

    发现 Roundcube Webmail 未正确审查

    电子邮件正文中的某些 HTML 元素。攻击者可能

    可利用此问题造成跨站脚本攻击。此问题仅适用于

    已在 Ubuntu 16.04 LTS 中解决。CVE-2016-4068、 CVE-2016-4069

    发现 Roundcube Webmail 未能正确处理某些

    配置参数。攻击者可能利用此问题

    执行任意代码。这个问题只在 Ubuntu 16.04 LTS 中得到解决。

    (CVE-2016-9920)

    发现 Roundcube Webmail 未能正确审查 CSS 样式

    在 SVG 文档中。攻击者可能利用此问题造成

    跨站脚本攻击。这个问题只在 Ubuntu 16.04 LTS 中得到解决。(CVE-2017-6820)

    发现 Roundcube Webmail 未正确限制 中的 exec 调用

    密码插件的某些驱动程序。经过认证的用户可能

    利用此问题执行任意密码重置。仅在

    Ubuntu 16.04 LTS 上的 tomcat10，已修复此问题。(CVE-2017-8114)

    发现 Roundcube Webmail 未能正确设置 内的文件权限

    Enigma 插件。攻击者可能利用此问题来窃取 GPG 隐私

    密钥。 (CVE-2018-1000071)

    发现 Roundcube Webmail 未正确处理 GnuPG MDC

    完整性保护警告。攻击者可能利用此问题获取

    来自加密通信的敏感信息。 (CVE-2018-19205)

    据发现Roundcube Webmail 未正确审查 HTML 附件中的 <svg> 和 <style> 标签。攻击者可能利用此问题造成

    跨站脚本攻击。 (CVE-2018-19206)

    已发现 Roundcube Webmail 未正确处理部分加密的多部分消息。
    攻击者可能利用此问题造成

    通过电子邮件回复泄漏加密消息的明文。 (CVE-2019-10740)

    发现 Roundcube Webmail 未正确审查某个参数

    在 archive 插件中。攻击者可能利用此问题执行

    IMAP 注入攻击。这个问题只在 Ubuntu 16.04 LTS 中得到解决。(CVE-2018-9846)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

**リリース 1.1.5** * プラグイン API：html2text フックを追加しました。* プラグイン API：
addressbook_export フックを追加しました。* html からテキストへ変換する際に絵文字アイコンが欠落しているのを修正します。* 「このリソースへのアクセスは CSRF に対して安全です」というログアウト時のランダムメッセージを修正します（#4956）。* HTML モードの「辞書へ追加します」というリクエストで言語名が欠落しているのを修正します（#4951）。* IMAP の TLSv1.1 と TLSv1.2 の使用を有効にします（#4955）。* SVG 画像処理の XSS 問題を修正します（#4949）。* パスワードプラグインの DBMail ドライバーのセキュリティ問題を（再度）修正します（CVE-2015-2181）（#4958）。* 受信者名が @-char を含むケースに対して解析する長い受信者リストのバグを修正します（#4964）

- Mail_Mime >= 1.9 の additional_message_headers のプラグイン互換性を修正します（#4966）。* smtp_server が使用されていない際に、プリファレンスの DSN オプションを非表示にします（#4967）

- 一意のリクエストトークンを使用して、CSRF に対するダウンロード URL を保護します（#4957）。* newmail_notifier プラグイン：リファクタリングされたデスクトップ通知 * contactlist_fields オプションを構成ファイルで設定できるように修正します。* SPECIAL-USE 割り当てが、ユーザーが特別のフォルダーを設定するまでのみ強制されるように修正します（#4782）。* THREAD 結果の逆戻り順のパフォーマンスを修正します。* www. 付きのメールアドレスを mailto リンクへ変換するのを修正します
 （#5197）

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモートの Ubuntu 16.04 LTS / 18.04 LTS ホストには、USN-8132-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Roundcube Webmail が適切にサニタイズしないことが発見されました。

    あることが判明されました。攻撃者が

    クロスサイトスクリプティング攻撃を引き起こすために、この問題を利用します。この問題は、

    Ubuntu 16.04 LTS で対処されました。CVE-2016-4068、 CVE-2016-4069

    Roundcube Webmail が特定の状況を適切に処理していないことが判明しました。

    構成パラメーター。攻撃者がこの問題を悪用して、

    任意のコードを実行したりする可能性があります。この問題は Ubuntu 16.04 LTS のみで対処されました。

    (CVE-2016-9920)

    Roundcube Webmail が CSS スタイルを適切にサニタイズしないことが発見されました

    SVG ドキュメント内で発見しました。攻撃者がこの問題を悪用して、

    クロスサイトスクリプティング攻撃が引き起こされる可能性があります。この問題は Ubuntu 16.04 LTS のみで対処されました。(CVE-2017-6820)

    Roundcube Webmail が exec 呼び出しを適切に制限していないことが判明しました。

    パスワードプラグインの特定のドライバーを対象としています。認証されたユーザーが、

    任意のパスワードのリセットを実行するのにこの問題を利用します。この問題は、

    Ubuntu 16.04 LTS のみです。(CVE-2017-8114)

    Roundcube Webmail がファイルの権限を適切に設定していないことが判明しました。

    Enigma プラグイン。攻撃者が、この問題を利用して、GPG をプライベートに抽出する可能性があります。

    ネットワーク接続を介してキーを実行する可能性があります。CVE-2018-1000071

    Roundcube Webmail が GnuPG MDC を適切に処理していないことが判明しました

    整合性保護の警告を表示します。攻撃者がこの問題を利用し、

    暗号化された通信からの機密情報を漏洩する可能性があります。CVE-2018-19205

    Roundcube Webmail が HTML 添付ファイル内の <svg> および <style> タグを適切にサニタイズしないことが発見されました。攻撃者がこの問題を悪用して、

    クロスサイトスクリプティング攻撃。CVE-2018-19206

    Roundcube Webmail が、部分的に暗号化されたマルチパートメッセージを適切に処理していないことが判明しました。
    攻撃者がこの問題を悪用して、

    電子メールの返信を介して、暗号化されたメッセージの平文が漏洩する脆弱性。CVE-2019-10740

    Roundcube Webmail が特定のパラメーターを適切にサニタイズしないことが判明しました

    可能性があります。攻撃者がこの問題を利用して、

    IMAP インジェクション攻撃この問題は Ubuntu 16.04 LTS のみで対処されました。(CVE-2018-9846)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

**Release 1.1.5** * Plugin API: Added html2text hook * Plugin API:
Added addressbook_export hook * Fix missing emoticons on html-to-text conversion * Fix random 'access to this resource is secured against CSRF' message at logout (#4956) * Fix missing language name in 'Add to Dictionary' request in HTML mode (#4951) * Enable use of TLSv1.1 and TLSv1.2 for IMAP (#4955) * Fix XSS issue in SVG images handling (#4949) * Fix (again) security issue in DBMail driver of password plugin (CVE-2015-2181) (#4958) * Fix bug in long recipients list parsing for cases where recipient name contained @-char (#4964)

  - Fix additional_message_headers plugin compatibility with     Mail_Mime >= 1.9 (#4966) * Hide DSN option in     Preferences when smtp_server is not used (#4967)

  - Protect download urls against CSRF using unique request     tokens (#4957) * newmail_notifier Plugin: Refactored     desktop notifications * Fix so contactlist_fields option     can be set via config file * Fix so SPECIAL-USE     assignments are forced only until user sets special     folders (#4782) * Fix performance in reverting order of     THREAD result * Fix converting mail addresses with www.
    into mailto links (#5197)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Ubuntu 16.04 LTS / 18.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-8132-1 advisory.

    It was discovered that Roundcube Webmail did not properly sanitize

    certain HTML elements within the e-mail body. An attacker could possibly

    use this issue to cause a cross-site scripting attack. This issue was only

    addressed in Ubuntu 16.04 LTS. (CVE-2016-4068, CVE-2016-4069)

    It was discovered that Roundcube Webmail did not properly handle certain

    configuration parameters. An attacker could possibly use this issue to

    execute arbitrary code. This issue was only addressed in Ubuntu 16.04 LTS.

    (CVE-2016-9920)

    It was discovered that Roundcube Webmail did not properly sanitize CSS styles

    within SVG documents. An attacker could possibly use this issue to cause

    a cross-site scripting attack. This issue was only addressed in Ubuntu 16.04 LTS. (CVE-2017-6820)

    It was discovered that Roundcube Webmail did not properly restrict exec call in

    certain drivers of the password plugin. An authenticated user could possibly

    use this issue to perform arbitrary password resets. This issue was only addressed in

    Ubuntu 16.04 LTS. (CVE-2017-8114)

    It was discovered that Roundcube Webmail did not properly set file permissions within

    the Enigma plugin. An attacker could possibly use this issue to exfiltrate GPG private

    keys via network connectivity. (CVE-2018-1000071)

    It was discovered that Roundcube Webmail did not properly handle GnuPG MDC

    integrity-protection warnings. An attacker could possibly use this issue to obtain

    sensitive information from encrypted communications. (CVE-2018-19205)

    It was discovered that Roundcube Webmail did not properly sanitize <svg> and <style> tags within HTML     attachments. An attacker could possibly use this issue to cause a

    cross-site scripting attack. (CVE-2018-19206)

    It was discovered that Roundcube Webmail did not properly handle partially encrypted multipart messages.
    An attacker could possibly use this issue to cause

    leaking of the plaintext of encrypted messages via an email reply. (CVE-2019-10740)

    It was discovered that Roundcube Webmail did not properly sanitize a certain parameter

    within the archive plugin. An attacker could possibly use this issue to perform an

    IMAP injection attack. This issue was only addressed in Ubuntu 16.04 LTS. (CVE-2018-9846)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
304432	Ubuntu 16.04 LTS / 18.04 LTSRoundcube Webmail 弱點 (USN-8132-1)	Nessus	Ubuntu Local Security Checks	2026/3/31	2026/4/30	high
90813	Fedora 23：roundcubemail-1.1.5-1.fc23 (2016-69eb7f9fb2)	Nessus	Fedora Local Security Checks	2016/5/2	2021/1/11	high
90815	Fedora 22：roundcubemail-1.1.5-1.fc22 (2016-a9c8f9dcff)	Nessus	Fedora Local Security Checks	2016/5/2	2021/1/11	high
90813	Fedora 23：roundcubemail-1.1.5-1.fc23 (2016-69eb7f9fb2)	Nessus	Fedora Local Security Checks	2016/5/2	2021/1/11	high
90815	Fedora 22：roundcubemail-1.1.5-1.fc22 (2016-a9c8f9dcff)	Nessus	Fedora Local Security Checks	2016/5/2	2021/1/11	high
304432	Ubuntu 16.04 LTS / 18.04 LTSRoundcube Webmail 漏洞 (USN-8132-1)	Nessus	Ubuntu Local Security Checks	2026/3/31	2026/4/30	high
90971	Fedora 24：roundcubemail-1.1.5-1.fc24 (2016-aff691237e)	Nessus	Fedora Local Security Checks	2016/5/9	2021/1/11	high
90971	Fedora 24：roundcubemail-1.1.5-1.fc24 (2016-aff691237e)	Nessus	Fedora Local Security Checks	2016/5/9	2021/1/11	high
90971	Fedora 24：roundcubemail-1.1.5-1.fc24（2016-aff691237e）	Nessus	Fedora Local Security Checks	2016/5/9	2021/1/11	high
304432	Ubuntu 16.04 LTS / 18.04 LTSRoundcube Webmail の脆弱性USN-8132-1	Nessus	Ubuntu Local Security Checks	2026/3/31	2026/4/30	high
90813	Fedora 23：roundcubemail-1.1.5-1.fc23（2016-69eb7f9fb2）	Nessus	Fedora Local Security Checks	2016/5/2	2021/1/11	high
90815	Fedora 22：roundcubemail-1.1.5-1.fc22（2016-a9c8f9dcff）	Nessus	Fedora Local Security Checks	2016/5/2	2021/1/11	high
90971	Fedora 24 : roundcubemail-1.1.5-1.fc24 (2016-aff691237e)	Nessus	Fedora Local Security Checks	2016/5/9	2021/1/11	high
90813	Fedora 23 : roundcubemail-1.1.5-1.fc23 (2016-69eb7f9fb2)	Nessus	Fedora Local Security Checks	2016/5/2	2021/1/11	high
90815	Fedora 22 : roundcubemail-1.1.5-1.fc22 (2016-a9c8f9dcff)	Nessus	Fedora Local Security Checks	2016/5/2	2021/1/11	high
304432	Ubuntu 16.04 LTS / 18.04 LTS : Roundcube Webmail vulnerabilities (USN-8132-1)	Nessus	Ubuntu Local Security Checks	2026/3/31	2026/4/30	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high