Debian-Sicherheitsankündigung

DSA-535-1 squirrelmail -- Mehrere Verwundbarkeiten

Datum des Berichts:

02. Aug 2004

Betroffene Pakete:

Verwundbar:

Sicherheitsdatenbanken-Referenzen:

In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 10246, BugTraq ID 10439.
In Mitres CVE-Verzeichnis: CVE-2004-0519, CVE-2004-0520, CVE-2004-0521, CVE-2004-0639.

Weitere Informationen:

Vier Verwundbarkeiten wurden in squirrelmail entdeckt:

CAN-2004-0519
Mehrere Verwundbarkeiten durch Site-übergreifende Skripte (XSS) in squirrelmail 1.4.2 erlauben entfernten Angreifern, beliebige Skripte als anderer Benutzer auszuführen und möglicherweise Authentifizierungsinformationen über mehrere Angriffsvektoren zu stehlen, einschließlich des Mailbox-Parameters in compose.php.
CAN-2004-0520
Verwundbarkeit durch Site-übergreifendes Skripting (XSS) in mime.php für SquirrelMail vor Version 1.4.3 erlaubt entfernten Angreifern beliebiges HTML oder Skripte über den Mail-Header content-type einzufügen, wie durch Verwendung von read_body.php demonstriert wurde.
CAN-2004-0521
Eine SQL-Injektions-Verwundbarkeit in SquirrelMail vor 1.4.3 RC1 erlaubt entfernten Angreifern, nicht autorisierte SQL-Befehle mit unbekannten Auswirkungen auszuführen, wahrscheinlich über abook_database.php.
CAN-2004-0639
Mehrere Verwundbarkeiten durch Site-übergreifendes Skripting (XSS) in Squirrelmail 1.2.10 und früher erlauben entfernten Angreifern, beliebiges HTML oder Skripte über folgende Mechanismen zu injizieren: (1) die Variable $mailer in read_body.php, (2) die Variable $senderNames_part in mailbox_display.php sowie möglicherweise andere Vektoren, einschließlich (3) der Variablen $event_title und (4) der Variablen $event_text.

Für die aktuelle Stable-Distribution (Woody) wurden diese Probleme in Version 1:1.2.6-1.4 behoben.

Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 2:1.4.3a-0.1 und früheren Versionen behoben.

Wir empfehlen Ihnen, Ihr squirrelmail-Paket zu aktualisieren.

Behoben in:

Quellcode:: http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4.dsc; http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4.diff.gz; http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6.orig.tar.gz
Architektur-unabhängige Dateien:: http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4_all.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.