Debians sikkerhedsbulletin

DSA-1770-1 imp4 -- utilstrækkelig fornuftighedskontrol af inddata

Rapporteret den:
13. apr 2009
Berørte pakker:
imp4
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Debians fejlsporingssystem: Fejl 500114, Fejl 500553, Fejl 513266.
I Mitres CVE-ordbog: CVE-2008-4182, CVE-2009-0930.
Yderligere oplysninger:

Flere sårbarheder er opdaget i imp4, en webmail-komponent til horde-frameworket. Projektet Common Vulnerabilities and Exposures har registreret følgende problemer:

  • CVE-2008-4182

    Man opdagede at imp4 indeholdt en sårbarhed i forbindelse med udførelse af skripter på tværs af websteder (XSS) gennem brugerfeltet i en IMAP-session, hvilket gjorde det muligt for angribere at indsprøjte vilkårlig HTML-kode.

  • CVE-2009-0930

    Man opdagede at imp4 var sårbar over for flere angreb i forbindelse med udførelse af skripter på tværs af websteder (XSS) gennem flere vektorer i mailkode, der gjorde det muligt for angribere at indsprøjte vilkårlig HTML-kode.

I den gamle stabile distribution (etch), er disse problemer rettet i version 4.1.3-4etch1.

I den stabile distribution (lenny), er disse problemer rettet i version 4.2-4, der allerede var indeholdt i udgivelsen af lenny.

I distributionen testing (squeeze) og i den ustabile distribution (sid), er disse problemer rettet i version 4.2-4.

Vi anbefaler at du opgraderer dine imp4-pakker.

Rettet i:

Debian GNU/Linux 4.0 (etch)

Kildekode:
http://security.debian.org/pool/updates/main/i/imp4/imp4_4.1.3-4etch1.dsc
http://security.debian.org/pool/updates/main/i/imp4/imp4_4.1.3.orig.tar.gz
http://security.debian.org/pool/updates/main/i/imp4/imp4_4.1.3-4etch1.diff.gz
Arkitekturuafhængig komponent:
http://security.debian.org/pool/updates/main/i/imp4/imp4_4.1.3-4etch1_all.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.