CVE-2025-50340: SOGo Webmail における安全でない直接オブジェクト参照 (IDOR 脆弱性)

CVE ID: CVE-2025-50340
報告者: Milad Seddigh
製品: SOGo
影響を受けるバージョン: v5.6.0
影響: 安全でない直接オブジェクト参照 (IDOR 脆弱性) → ユーザーが別のユーザーに代わって電子メールを送信できるようにします。

概要

SOGo Webmail で、安全でない直接オブジェクト参照 (IDOR) の脆弱性が発見され、 認証済みユーザーが、電子メール送信リクエスト内のユーザー制御識別子を操作することで、 他のユーザーに代わって電子メールを送信できるようになります。サーバーは、指定された送信者 ID を 認証済みユーザーが使用する権限を持っているかを検証しないため、別のユーザーとして無許可の メッセージ配信が発生します。これは、システム内でのなりすまし、フィッシング、または無許可の通信につながる可能性があります。

再現手順

1- アカウントにログインします。 2- 電子メールを送信し、Burp Suite を使用してリクエストを傍受します。 3- “from” パラメータを被害者の電子メールアドレスに変更して、被害者に代わって送信します。 4- 応答サーバーは、別のユーザーに代わって電子メールを送信できたことを示します。

軽減策

適切な認可を強制する: リソースに対して明示的にアクセスを許可されたユーザーのみが操作を実行できるように、厳格なサーバーサイドの認可チェックを実装してください。 認証済みユーザーが、送信者 (from アドレス) として使用されている電子メール ID の正当な所有者であることを検証してください。