roundcubemail 已更新至 1.0.4 版，修正了多個錯誤和安全性問題。

變更：

- 停用 TinyMCE contextmenu 外掛程式，因為使用該外掛程式的弊多於利 (#1490118)

- 修正撰寫頁面不接受 show_real_foldernames 設定的錯誤 (#1490153)

- 修正封存資料夾未受到 Folder Manager 保護的問題 (#1490154)

- 修正與 rcube_imap_generic 中 PHP 5.2 的相容性 (#1490115)

- 修正不具 PERMANENTFLAGS 回應的伺服器上的設定旗標問題 (#1490087)

- 修正在密碼外掛程式的 ldap 驅動程式中，SHAA 密碼產生過程的迴歸問題 (#1490094)

- 修正 Larry 面板中絕對位置元素的 HTML 訊息顯示問題 (#1490103)

- 修正樣式 <span> 元素中 HTML 訊息的字型樣式顯示問題 (#1490101)

- 修正下載屬於 TNEF 訊息的附件時遇到的問題 (#1490091)

- 修正 messages_cache 啟用時未編碼訊息的處理問題 (#1490108)

- 修正處理具有多餘空格的 base64 編碼附件問題 (#1490111)

- 修正 UNKNOWN-CTE 回應的處理問題，嘗試解碼內容用戶端 (#1490046)

- 修正在共用資料夾中建立子資料夾時必須使用 ACL 延伸模組的錯誤 (#1490113)

- 修正使用文字模式時的回覆捲動問題，並使訊息從引號下方開始 (#1490114)

- 修正 skin/skin_path 組態處理過程中的潛在問題 (#1490125)

- 修正 smtp_log 中收件者地址缺少分隔符號的問題 (#1490150)

- 修正 Blowfish 型密碼雜湊的產生問題 (#1490184)

- 修正部分要求仍可能遭遇到 CSRF 攻擊的錯誤 (CVE-2014-9587)

多個 CSRF 和 XSS 問題允許遠端攻擊者劫持驗證，以及未經使用者同意便執行 roundcube 作業。在某些情況下，這可導致資料缺乏或資料竊取。

CVE-2014-9587

多個跨網站要求偽造 (CSRF) 弱點允許遠端攻擊者透過未知向量劫持不明受害者的驗證，這與 (1) 通訊錄作業或 (2) ACL 或 (3) Managesieve 外掛程式有關。

CVE-2015-1433

清理樣式 HTML 屬性期間錯誤的引用邏輯允許遠端攻擊者在使用者的瀏覽器中執行任意 JavaScript 程式碼。CVE-2016-4069

跨網站要求偽造 (CSRF) 弱點允許遠端攻擊者透過不明向量，針對下載附件要求劫持使用者的驗證，並造成拒絕服務 (磁碟消耗)。

針對 Debian 7「Wheezy」，這些問題已在 0.7.2-9+deb7u4 版本中修正。

建議您升級 roundcube 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

roundcubemail 已更新到 1.0.4，修复了多个缺陷和安全问题。

变更：

- 禁用 TinyMCE contextmenu 插件，因为在使用时弊大于利 (#1490118)

- 修复在撰写页中未遵循 show_real_foldernames 设置的缺陷 (#1490153)

- 修复 Archive 文件夹未在文件夹管理器中受到保护的问题 (#1490154)

- 修复与 rcube_imap_generic 中 PHP 5.2. 的兼容性 (#1490115)

- 修复服务器上没有 PERMANENTFLAGS 响应的设置标记 (#1490087)

- 修复密码插件的 ldap 驱动程序的 SHAA 密码生成的回归 (#1490094)

- 修复绝对定位元素在 Larry 皮肤中的 HTML 消息显示 (#1490103)

- 修复具有 <span> 样式元素的 HTML 消息的字体样式显示问题 (#1490101)

- 修复作为 TNEF 消息组成部分的附件的下载 (#1490091)

- 修复启用 messages_cache 时对 uuencoded 消息的处理 (#1490108)

- 修复对具有额外空间的 base64 编码附件的处理 (#1490111)

- 修复对 UNKNOWN-CTE 响应的处理，尝试解码内容客户端 (#1490046)

- 修复在没有 ACL 扩展的情况下无法在共享文件夹中创建子文件夹的缺陷 (#1490113)

- 修复引用下文本模式和开始消息的回复滚动问题 (#1490114)

- 修复 skin/skin_path 配置处理中可能存在的问题 (#1490125)

- 修复 smtp_log 中接收方地址缺少分隔符的问题 (#1490150)

- 修复基于 blowfish 的密码哈希的生成 (#1490184)

- 修复某些请求仍然可能造成 CSRF 攻击的缺陷 (CVE-2014-9587)

多个 CSRF 和 XSS 问题允许远程攻击者劫持认证，以及未经用户同意便执行 roundcube 操作。在某些情况下，这可导致数据丢失或数据窃取。

CVE-2014-9587

多种跨站请求伪造 (CSRF) 漏洞允许远程攻击者通过与 (1) 通讯簿操作或 (2) ACL 或 (3) Managesieve 插件相关的未知矢量劫持不明受害者的认证。

CVE-2015-1433

审查样式 HTML 属性期间错误的引用逻辑允许远程攻击者在用户的浏览器中执行任意 JavaScript 代码。CVE-2016-4069

跨站请求伪造 (CSRF) 漏洞允许远程攻击者通过不明矢量，针对下载附件请求劫持用户的认证，并造成拒绝服务(磁盘消耗）。

对于 Debian 7“Wheezy”，这些问题已在 0.7.2-9+deb7u4 版本中修复。

建议您升级 roundcube 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

複数の CSRF および XSS 問題により、リモートの攻撃者が認証をハイジャックし、ユーザーの同意なしに roundcube 操作を実行することが可能です。場合によっては、これによりデータが消失したり漏洩したりする可能性があります。

CVE-2014-9587

複数のクロスサイトリクエスト偽造（CSRF）の脆弱性により、（1）アドレスブック操作または（2）ACL または（3）Managesieve プラグインに関係する未知のベクトルを通じて、リモートの攻撃者が特定されない被害者の認証をハイジャックする可能性があります。

CVE-2015-1433

スタイル HTML 属性のサニタイズの中の引用符ロジックが誤っているために、リモートの攻撃者がユーザーのブラウザで任意の JavaScript コードを実行することが可能です。CVE-2016-4069

クロスサイトリクエスト偽造（CSRF）の脆弱性のために、リモートの攻撃者が添付ファイルをダウンロードするリクエストのためのユーザーの認証をハイジャックして、詳細不明なベクトルを通じてサービス拒否（ディスク消費）を引き起こすことが可能です。

Debian 7「Wheezy」では、これらの問題はバージョン 0.7.2-9+deb7u4 で修正されました。

お使いの roundcube パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

roundcubemail が 1.0.4 に更新され、バグおよびセキュリティ問題が修正されました。

変更：

- TinyMCE contextmenu プラグインを使用する場合の悪い点が良い点より多いため、このプラグインを無効にします（#1490118）

- show_real_foldernames の設定が構成ページに反映されないバグを修正します（#1490153）

- Archive フォルダが Folder Manager で保護されない問題を修正します（#1490154）

- rcube_imap_generic の PHP 5.2 との互換性を修正します（#1490115）

- PERMANENTFLAGS 応答のないサーバーのフラグ設定を修正します（#1490087）

- パスワードプラグインにおける ldap ドライバーの SHAA パスワード生成の回帰を修正します（#1490094）

- HTML メッセージが Larry スキンの絶対配置要素とともに表示されるのを修正します（#1490103）

- スタイル化された <span> 要素のある HTML メッセージにおけるフォントスタイルの表示の問題を修正します（#1490101）

- TNEF メッセージの一部である添付ファイルのダウンロードを修正します（#1490091）

- messages_cache が有効化された場合にエンコードされないメッセージの処理を修正します（#1490108）

- base64 エンコードの余分な空白のある添付ファイルの処理を修正します（#1490111）

- UNKNOWN-CTE 応答の処理を修正し、コンテンツクライアント側のデコードを試行します（#1490046）

- ACL 拡張なしで共有フォルダにサブフォルダを作成できないバグを修正します（#1490113）

- テキストモードの返信スクローリングの問題を修正し、引用の下からメッセージを開始します（#1490114）

- skin/skin_path 構成処理の潜在的な問題を修正します（#1490125）

- smtp_log における受信アドレスのデリミタの欠如を修正します（#1490150）

- Blowfish ベースのパスワードハッシュの生成を修正します（#1490184）

- CSRF 攻撃が一部のリクエストでまだ可能であるバグを修正します（CVE-2014-9587）

Multiple CSRF and XSS issues allow remote attackers to hijack the authentication and execute roundcube operations without the consent of the user. In some cases, this could result in data loss or data theft.

CVE-2014-9587

Multiple cross-site request forgery (CSRF) vulnerabilities in allow remote attackers to hijack the authentication of unspecified victims via unknown vectors, related to (1) address book operations or the (2) ACL or (3) Managesieve plugins.

CVE-2015-1433

Incorrect quotation logic during sanitization of style HTML attribute allows remote attackers to execute arbitrary JavaScript code on the user's browser. CVE-2016-4069

Cross-site request forgery (CSRF) vulnerability allows remote attackers to hijack the authentication of users for requests that download attachments and cause a denial of service (disk consumption) via unspecified vectors.

For Debian 7 'Wheezy', these problems have been fixed in version 0.7.2-9+deb7u.

We recommend that you upgrade your roundcube packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

roundcubemail was updated to 1.0.4 fixing bugs and security issues.

Changes :

  - Disable TinyMCE contextmenu plugin as there are more     cons than pros in using it (#1490118)

  - Fix bug where show_real_foldernames setting wasn't     honored on compose page (#1490153)

  - Fix issue where Archive folder wasn't protected in     Folder Manager (#1490154)

  - Fix compatibility with PHP 5.2. in rcube_imap_generic     (#1490115)

  - Fix setting flags on servers with no PERMANENTFLAGS     response (#1490087)

  - Fix regression in SHAA password generation in ldap     driver of password plugin (#1490094)

  - Fix displaying of HTML messages with absolutely     positioned elements in Larry skin (#1490103)

  - Fix font style display issue in HTML messages with     styled <span> elements (#1490101)

  - Fix download of attachments that are part of TNEF     message (#1490091)

  - Fix handling of uuencoded messages if messages_cache is     enabled (#1490108)

  - Fix handling of base64-encoded attachments with extra     spaces (#1490111)

  - Fix handling of UNKNOWN-CTE response, try do decode     content client-side (#1490046)

  - Fix bug where creating subfolders in shared folders     wasn't possible without ACL extension (#1490113)

  - Fix reply scrolling issue with text mode and start     message below the quote (#1490114)

  - Fix possible issues in skin/skin_path config handling     (#1490125)

  - Fix lack of delimiter for recipient addresses in     smtp_log (#1490150)

  - Fix generation of Blowfish-based password hashes     (#1490184)

  - Fix bugs where CSRF attacks were still possible on some     requests (CVE-2014-9587)

ID	Name	Product	Family	Published	Updated	Severity
80989	openSUSE 安全性更新：roundcubemail (openSUSE-SU-2015:0116-1)	Nessus	SuSE Local Security Checks	1/26/2015	1/19/2021	medium
93385	Debian DLA-613-1：roundcube 安全性更新	Nessus	Debian Local Security Checks	9/9/2016	1/27/2026	high
80989	openSUSE 安全更新：roundcubemail (openSUSE-SU-2015:0116-1)	Nessus	SuSE Local Security Checks	1/26/2015	1/19/2021	medium
93385	Debian DLA-613-1：roundcube 安全更新	Nessus	Debian Local Security Checks	9/9/2016	1/27/2026	high
93385	Debian DLA-613-1：roundcube のセキュリティ更新	Nessus	Debian Local Security Checks	9/9/2016	1/27/2026	high
80989	openSUSE セキュリティ更新：roundcubemail （openSUSE-SU-2015:0116-1）	Nessus	SuSE Local Security Checks	1/26/2015	1/19/2021	medium
93385	Debian DLA-613-1 : roundcube security update	Nessus	Debian Local Security Checks	9/9/2016	1/27/2026	high
80989	openSUSE Security Update : roundcubemail (openSUSE-SU-2015:0116-1)	Nessus	SuSE Local Security Checks	1/26/2015	1/19/2021	medium

Detections

Analytics

Plugins Search

medium

high

medium

high

high

medium

high

medium