CVE-2025-49113 - Roundcube Webmail リモートコード実行の脆弱性

技術概要

CVE-2025-49113 は、Roundcube Webmail における深刻な安全でない逆シリアル化の脆弱性であり、認証済みリモートコード実行を可能にします。この脆弱性は、ファイルアップロード操作時におけるシリアル化された PHP オブジェクトの不適切な処理に起因します。

脆弱性の分析

• 根本原因: ファイルアップロード機能におけるユーザー制御データの安全でない逆シリアル化
• 攻撃ベクトル: 悪意のあるシリアル化された PHP オブジェクトを含む細工されたファイルアップロードリクエスト
• 技術的詳細:
  • program/steps/mail/attach.inc に存在
  • 適切な検証なしに _file パラメータのメタデータを処理
  • 2つのインジェクション手法を組み合わせる:
    1. _form パラメータによる PHP セッションインジェクション
    2. filename パラメータによる悪意のあるオブジェクトインジェクション

影響を受けるバージョン

• Roundcube Webmail 1.5.0 から 1.5.9
• Roundcube Webmail 1.6.0 から 1.6.10

悪用の前提条件

• PHP 7.0 以上
• cURL 拡張機能が有効
• 有効な認証済みセッション資格情報
• ファイルアップロード機能へのアクセス

悪用メカニズム

技術的ワークフロー

1. バージョン確認: レスポンスパターンを通じて脆弱なバージョンを検証
2. 認証バイパス: 認証に提供されたセッションクッキーを使用
3. ペイロード配信:
   • PNG 画像を含む multipart/form-data リクエストを作成
   • filename パラメータに悪意のあるシリアル化された PHP オブジェクトを注入
   • _form パラメータを介してセッション操作を注入
4. 逆シリアル化のトリガー:
   • ファイル処理中の脆弱な逆シリアル化ルーチン
   • オブジェクトのアンシリアル化中のガジェットチェーン実行
5. コマンド実行: シェルコマンド実行に system() 関数を利用

コード実行フロー

// Simplified exploitation flow
$target_url = $base_url . "?_task=mail&_action=upload&_form=injected_session_data";
$post_data = [
    '_file' => '{"name":"malicious_object_gadget","path":"..."}',
    'file' => curl_file_create('fake.png', 'image/png', 'exploit.png')
];
$response = curl_exec($target_url, $post_data);
// Vulnerable deserialization occurs in attach.inc processing
// Gadget chain triggers command execution: system($_POST['cmd']);

使用方法

コマンド構文

php CVE-2025-49113-exploit_cookies.php <url> <cookies> <command>

パラメータ

実行例

php CVE-2025-49113-exploit_cookies.php \
    https://mail.example.com/roundcube/ \
    "roundcube_sessid=abc123; roundcube_sessauth=xyz456" \
    "cat /etc/passwd"

検出と緩和

侵害の兆候 (IoC)

• シリアル化されたデータを含む異常なファイルアップロードリクエスト
• Webサーバーユーザーによって生成された予期しないプロセス
• Roundcube または Web サーバーログの異常なエントリ

緩和策

1. 即時対応: Roundcube バージョン 1.6.11 以降にアップグレード
2. 一時的な回避策: ファイルアップロードの入力検証フィルターを実装
3. ネットワーク制御:
   • 管理インターフェースへのアクセスを制限
   • 逆シリアル化攻撃検出を備えた WAF を実装
4. 監視: ファイルアップロード操作のロギングを強化

参考情報

• NIST NVD Entry
• Roundcube Security Advisory
• Original Research
• Exploit Code Reference
• Technical Analysis

法的および倫理的考慮事項

この情報は教育目的のみで提供されています。明示的な許可なくシステムに対して不正なテストを行うことは違法です。セキュリティ評価を行う前に必ず適切な承認を得てください。著者および発行元は、この情報の誤用について一切の責任を負いません。