Avis du CERT-FR
Objet : Vulnérabilité dans SquirrelMail
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Injection de code indirecte
Systèmes affectés
SquirrelMail versions 1.4.16 et antérieures.
Résumé
Une vulnérabilité présente dans SquirrelMail permet à un utilisateur distant de conduire une attaque de type injection de code indirecte (Cross-site scripting).
Description
Une erreur est présente dans SquirrelMail. Elle est due à un manque de contrôle du code HTML inclus dans certains courriels. Il est donc possible à un utilisateur distant malintentionné de conduire une attaque de type injection de code indirecte par le biais d'un courriel construit de façon particulière ouvert par un utilisateur du SquirrelMail vulnérable.
NB: l'option Show HTML Version by Default devra être activée dans les paramètres d'affichage pour que l'exploitation de cette vulnérabilité réussisse.
Solution
La version 1.4.17 de SquirrelMail corrige le problème :
http://www.squirrelmail.org/download
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Liste des changements apportés à la version 1.4.17 de SquirrelMail :
http://sourceforge.net/project/shownotes.php?release_id=644750&group_id=311 -
Site de SquirrelMail :
http://www.squirrelmail.org -
Référence CVE CVE-2008-2379
https://www.cve.org/CVERecord?id=CVE-2008-2379
Gestion détaillée du document
| Date | Description |
|---|---|
| 04 décembre 2008 | version initiale. |