CVE-2024-50964

MXサーバーの設定ミス (CVE-2024-50964)

説明

Ferozo Webmail v1.1において深刻な脆弱性が確認されました。DonWebのMX（Mail Exchange）サーバーが、設定されたDMARC（Domain-based Message Authentication, Reporting, and Conformance）ポリシーを完全に無視していることが原因です。ドメイン側で「reject（拒否）」に設定されたDMARCポリシーにもかかわらず、DonWebのメールサーバーはこれらのポリシーを検証せず、スプーフィングされた不正なメールが認証をすり抜けてユーザーの受信箱に届くことを許しています。この見落としにより、攻撃者は正当なドメインを偽装することが可能となり、フィッシングやスプーフィング攻撃のリスクが大幅に高まります。

攻撃の複雑さ

• 低い

必要な権限

• なし

ユーザーの操作

• 不要

影響を受けるコンポーネント

• メールサーバーのDMARC処理: DonWebのMXサーバーはDMARCポリシーを適切に強制できておらず、認証チェックなしでスプーフィングメールが通過できてしまいます。

影響

• メールスプーフィング: 攻撃者はDMARCの制御を迂回して信頼できるエンティティを偽装でき、フィッシング攻撃、データ漏洩、マルウェア拡散の深刻なリスクをもたらします。
• 評判リスク: DMARCポリシーの強制の失敗は深刻な評判の低下を招く可能性があります。ユーザーが信頼するドメインからの偽装メールに対して脆弱になるためです。

対策