Avis du CERT-FR

Json

Objet : Vulnérabilités dans Horde Application Framework

Gestion du document

Référence	CERTA-2007-AVI-132
Titre	Vulnérabilités dans Horde Application Framework
Date de la première version	16 mars 2007
Date de la dernière version	16 mars 2007
Source(s)	Mise à jour 3.1.4 de Horde

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Exécution indirecte de code

Systèmes affectés

Horde Application Framework versions antérieures à 3.1.4.

Résumé

Deux vulnérabilités dans Horde permettent à un attaquant de porter atteinte à l'intégralité des données et d'effectuer une exécution indirecte de code.

Description

Deux vulnérabilités de Horde ont été identifées. La première concerne une erreur des scripts cron et permet à une personne locale d'effacer des fichiers arbitraires. La deuxième vulnérabilité est un mauvais contrôle de paramètre lors de la sélection de langue, qui peut être exploité pour effectuer une attaque de type exécution de code indirecte (XSS).

Solution

La version 3.1.4 de Horde corrige ces problèmes (cf. section Documentation).

Documentation

Mise à jour de Horde 3.1.4 du 14 mars 2007 :
http://lists.horde.org/archives/announce/2007/000315.html

Gestion détaillée du document

Date	Description
16 mars 2007	version initiale.