Avis du CERT-FR

Json

Objet : Vulnérabilités dans SquirrelMail

Gestion du document

Référence CERTA-2006-AVI-526
Titre Vulnérabilités dans SquirrelMail
Date de la première version04 décembre 2006
Date de la dernière version26 mars 2007
Source(s) Bulletin de sécurité SquirrelMail du 02 décembre 2006

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Attaque de type cross site scripting

Systèmes affectés

Toute version de SquirrelMail antérieures à 1.4.9a.

Résumé

Deux vulnérabilités dans SquirrelMail permettent à un utilisateur distant de réaliser une attaque de type Cross Site Scripting.

Description

Ces vulnérabilités sont causées par un manque de contrôle sur les arguments retournés à l'utilisateur et par une erreur dans le filtre HTML magicHTML. Les scripts PHP vulnérables, webmail.php et compose.php, sont exécutés depuis les menus draft, compose et mailto. Un utilisateur distant peut exploiter ces vulnérabilités afin d'injecter du code arbitraire depuis le serveur (sain) et l'exécuter dans le contexte du navigateur Internet de l'utilisateur connecté.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

Date Description
04 décembre 2006 version initiale.
02 février 2007 ajout des références aux bullentins de sécurité RedHat, Debian et SuSE.
26 mars 2007 ajout de la référence au bulletin de sécurité SuSE.
Haut de page

Paramètres d'affichage

Choisissez un thème pour personnaliser l'apparence du site.