Alinto SOGo バージョン 5.12.7 でクロスサイトスクリプティングの脆弱性が発見されました。この脆弱性により、ICS カレンダーの招待状に悪意のある SVG オブジェクトを埋め込むことで、リモートコード実行が可能になります。この脆弱性は、VirusTotal での出現によって証明されているように、実際の攻撃で積極的に悪用されています。Alinto SOGo は、組織が電子メール、カレンダー、連絡先、スケジューリングを管理するために使用するオープンソースの Web メールおよびグループウェアプラットフォームです。この脆弱性は、ICS ファイル内の DESCRIPTION フィールドの不適切な処理に起因しています。このフィールドは、適切なサニタイズまたはコンテンツセキュリティポリシーの適用なしにレンダリングされます。カレンダーの招待状に JavaScript イベントハンドラーを含む SVG ペイロードが含まれている場合、ブラウザは SOGo Web メールのコンテキスト内でスクリプトを実行します。このスクリプト実行は、ユーザーがカレンダーを表示する際に、直接的な操作なしに自動的に発生します。この脆弱性の影響は大きく、攻撃者は被害者のメールボックスへの完全な読み取りアクセスを取得できます。これにより、フィッシングによる認証情報窃盗、パスワードマネージャーのオートフィル乗っ取り、およびすべての電子メールコンテンツとメタデータの流出につながる可能性があります。攻撃者は連絡先リストやカレンダーデータも抽出できます。ユーザーは、SOGo バージョン 5.12.8 以降にアップグレードすることを強くお勧めします。この新しいバージョンでは、ICS DESCRIPTION コンテンツをサニタイズし、埋め込み SVG および HTML の処理をより厳格に適用することで、脆弱性が修正されています。