Avis du CERT-FR
Objet : Vulnérabilités dans Horde Application Framework
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à l'intégrité des données
- Exécution de code arbitraire à distance
- Injection de code indirecte
Systèmes affectés
Horde Application Framework 3.x.
Résumé
Plusieurs vulnérabilités découvertes dans Horde Application Framework peuvent être exploitées pour porter atteinte à l'intégrité des données, pour exécuter du code arbitraire à distance et réaliser une attaque de type Cross Site Scripting.
Description
Plusieurs vulnérabilités ont été découvertes dans Horde Application Framework :
- une erreur dans le traitement des formulaires permet à une personne malveillante de porter atteinte à l'intégrité des données locales ;
- une erreur dans la bibliothèque MIME Viewer peut être exploitée pour injecter ou exécuter du code arbitraire à distance ou de façon indirecte dans le contexte du navigateur ;
- un manque de contrôle sur les données manipulées peut être exploité pour injecter ou exécuter du code arbitraire à distance ou de façon indirecte dans le contexte du navigateur.
Solution
Appliquer les mises à jour de sécurité Horde en passant aux versions 3.2.5 ou 3.3.5. Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Annonces de sécurité Horde du 14 septembre 2009 :
http://marc.info/?l=horde-announce&m=125291625030436&w=2 -
Annonces de sécurité Horde du 14 septembre 2009 :
http://marc.info/?l=horde-announce&m=125292339907481&w=2 -
Site Internet de l'éditeur : ;
http://www.horde.org
Gestion détaillée du document
| Date | Description |
|---|---|
| 14 septembre 2009 | version initiale. |