概要
HSC Cybersecurity Mailinspectorのバージョン5.3.2-3以前において、クロスサイトスクリプティング（XSS）の脆弱性（CVE-2026-3610）が発見されました。この脆弱性は、URLハンドラのコンポーネントである/mailinspector/mliUserValidation.phpファイル内のerror_description引数の操作によって引き起こされると報告されています。リモートからの攻撃が可能であり、既に攻撃コードが公開されているため、注意が必要です。
影響範囲
- 対象製品: HSC Cybersecurity Mailinspector
- 対象バージョン: 5.3.2-3 およびそれ以前のバージョン
想定される影響
この脆弱性が悪用された場合、攻撃者はユーザーのブラウザ上で任意のスクリプトを実行する可能性があります。これにより、以下のような影響が考えられます。
- セッションハイジャックによるユーザーアカウントの乗っ取り
- 機密情報の窃取（クッキー、認証情報など）
- ウェブサイトの改ざん
- マルウェアのダウンロードやリダイレクト
攻撃成立条件・悪用状況
本脆弱性は、リモートから攻撃が可能です。具体的には、細工されたURLをユーザーにクリックさせるなどのソーシャルエンジニアリング手法が用いられる可能性があります。ベンダーからの情報によると、既にこの脆弱性を悪用するエクスプロイトコードが公開されていると報告されており、早急な対策が求められます。
推奨対策
今すぐできる対策（最優先）
- バージョンアップの実施: 脆弱性が修正されたバージョン5.4.0への速やかなアップグレードを強く推奨します。
- ベンダー提供のホットフィックス適用: ベンダーは、公式リリース5.4.0が公開される前に、影響を受ける顧客向けにホットフィックスを提供していると報告しています。公式リリースを待てない場合は、ベンダーに問い合わせてホットフィックスの適用を検討してください。
確認方法
現在ご利用中のHSC Cybersecurity Mailinspectorのバージョンを確認し、バージョン5.3.2-3以前である場合は、速やかに上記の対策を実施してください。