Debians sikkerhedsbulletin

DSA-756-1 squirrelmail -- flere sårbarheder

Rapporteret den:
13. jul 2005
Berørte pakker:
squirrelmail
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Debians fejlsporingssystem: Fejl 314374, Fejl 317094.
I Mitres CVE-ordbog: CVE-2005-1769, CVE-2005-2095.
Yderligere oplysninger:

Flere sårbarheder er opdaget i Squirrelmail, et udbredt webmail-system. Projektet Common Vulnerabilities and Exposures har fundet frem til følgende problemer:

  • CAN-2005-1769

    Martijn Brinkers har opdaget en sårbarhed i forbindelse med udførelse af skripter på tværs af websteder, som gjorde det muligt for fjernangribere at indsprøjte vilkårlige webskripter eller HTML-kode i en URL og e-mails.

  • CAN-2005-2095

    James Bercegay fra GulfTech Security har opdaget en sårbarhed i håndteringen af variabler, hvilket kunne gøre det muligt for angribere at andre andre brugeres indstillinger og muligvis læse dem, skriver filer alle steder som www-data havde skriveadgang til samt udføre skripter på tværs af websteder.

I den gamle stabile distribution (woody) er disse problemer rettet i version 1.2.6-4.

I den stabile distribution (sarge) er disse problemer rettet i version 1.4.4-6sarge1.

I den ustabile distribution (sid) er disse problemer rettet i version 1.4.4-6sarge1.

Vi anbefaler at du opgraderer din squirrelmail-pakke.

Rettet i:

Debian GNU/Linux 3.0 (woody)

Kildekode:
http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-4.dsc
http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-4.diff.gz
http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6.orig.tar.gz
Arkitekturuafhængig komponent:
http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-4_all.deb

Debian GNU/Linux 3.1 (sarge)

Kildekode:
http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.4.4-6sarge1.dsc
http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.4.4-6sarge1.diff.gz
http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.4.4.orig.tar.gz
Arkitekturuafhængig komponent:
http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.4.4-6sarge1_all.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.