Debian-Sicherheitsankündigung

DSA-535-1 squirrelmail -- Mehrere Verwundbarkeiten

Datum des Berichts:
02. Aug 2004
Betroffene Pakete:
squirrelmail
Verwundbar:
Ja
Sicherheitsdatenbanken-Referenzen:
In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 10246, BugTraq ID 10439.
In Mitres CVE-Verzeichnis: CVE-2004-0519, CVE-2004-0520, CVE-2004-0521, CVE-2004-0639.
Weitere Informationen:

Vier Verwundbarkeiten wurden in squirrelmail entdeckt:

  • CAN-2004-0519

    Mehrere Verwundbarkeiten durch Site-übergreifende Skripte (XSS) in squirrelmail 1.4.2 erlauben entfernten Angreifern, beliebige Skripte als anderer Benutzer auszuführen und möglicherweise Authentifizierungsinformationen über mehrere Angriffsvektoren zu stehlen, einschließlich des Mailbox-Parameters in compose.php.

  • CAN-2004-0520

    Verwundbarkeit durch Site-übergreifendes Skripting (XSS) in mime.php für SquirrelMail vor Version 1.4.3 erlaubt entfernten Angreifern beliebiges HTML oder Skripte über den Mail-Header content-type einzufügen, wie durch Verwendung von read_body.php demonstriert wurde.

  • CAN-2004-0521

    Eine SQL-Injektions-Verwundbarkeit in SquirrelMail vor 1.4.3 RC1 erlaubt entfernten Angreifern, nicht autorisierte SQL-Befehle mit unbekannten Auswirkungen auszuführen, wahrscheinlich über abook_database.php.

  • CAN-2004-0639

    Mehrere Verwundbarkeiten durch Site-übergreifendes Skripting (XSS) in Squirrelmail 1.2.10 und früher erlauben entfernten Angreifern, beliebiges HTML oder Skripte über folgende Mechanismen zu injizieren: (1) die Variable $mailer in read_body.php, (2) die Variable $senderNames_part in mailbox_display.php sowie möglicherweise andere Vektoren, einschließlich (3) der Variablen $event_title und (4) der Variablen $event_text.

Für die aktuelle Stable-Distribution (Woody) wurden diese Probleme in Version 1:1.2.6-1.4 behoben.

Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 2:1.4.3a-0.1 und früheren Versionen behoben.

Wir empfehlen Ihnen, Ihr squirrelmail-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.0 (woody)

Quellcode:
http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4.dsc
http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4.diff.gz
http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6.orig.tar.gz
Architektur-unabhängige Dateien:
http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4_all.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.