Jakob Balle entdeckte, dass es mit »bedingten Kommentaren« (»Conditional Comments«) im Internet Explorer möglich ist, JavaScript-Code in Kommentaren zu verstecken. Dieser Code wird ausgeführt, wenn der Browser eine böswillige E-Mail über sqwebmail anzeigt. Ein erfolgreicher Exploit setzt voraus, dass der Benutzer den Internet Explorer verwendet.
Für die alte Stable-Distribution (Woody) wurde dieses Problem in Version 0.37.3-2.7 behoben.
Für die Stable-Distribution (Sarge) wurde dieses Problem in Version 0.47-4sarge3 behoben.
Für die Unstable-Distribution (Sid) wurde dieses Problem in Version 0.47-9 behoben.
Wir empfehlen Ihnen, Ihr sqwebmail-Paket zu aktualisieren.
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.