Debian-Sicherheitsankündigung
DSA-535-1 squirrelmail -- Mehrere Verwundbarkeiten
- Datum des Berichts:
- 02. Aug 2004
- Betroffene Pakete:
- squirrelmail
- Verwundbar:
- Ja
- Sicherheitsdatenbanken-Referenzen:
- In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 10246, BugTraq ID 10439.
In Mitres CVE-Verzeichnis: CVE-2004-0519, CVE-2004-0520, CVE-2004-0521, CVE-2004-0639. - Weitere Informationen:
-
Vier Verwundbarkeiten wurden in squirrelmail entdeckt:
- CAN-2004-0519
Mehrere Verwundbarkeiten durch Site-übergreifende Skripte (XSS) in squirrelmail 1.4.2 erlauben entfernten Angreifern, beliebige Skripte als anderer Benutzer auszuführen und möglicherweise Authentifizierungsinformationen über mehrere Angriffsvektoren zu stehlen, einschließlich des Mailbox-Parameters in compose.php.
- CAN-2004-0520
Verwundbarkeit durch Site-übergreifendes Skripting (XSS) in mime.php für SquirrelMail vor Version 1.4.3 erlaubt entfernten Angreifern beliebiges HTML oder Skripte über den Mail-Header content-type einzufügen, wie durch Verwendung von read_body.php demonstriert wurde.
- CAN-2004-0521
Eine SQL-Injektions-Verwundbarkeit in SquirrelMail vor 1.4.3 RC1 erlaubt entfernten Angreifern, nicht autorisierte SQL-Befehle mit unbekannten Auswirkungen auszuführen, wahrscheinlich über abook_database.php.
- CAN-2004-0639
Mehrere Verwundbarkeiten durch Site-übergreifendes Skripting (XSS) in Squirrelmail 1.2.10 und früher erlauben entfernten Angreifern, beliebiges HTML oder Skripte über folgende Mechanismen zu injizieren: (1) die Variable $mailer in read_body.php, (2) die Variable $senderNames_part in mailbox_display.php sowie möglicherweise andere Vektoren, einschließlich (3) der Variablen $event_title und (4) der Variablen $event_text.
Für die aktuelle Stable-Distribution (Woody) wurden diese Probleme in Version 1:1.2.6-1.4 behoben.
Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 2:1.4.3a-0.1 und früheren Versionen behoben.
Wir empfehlen Ihnen, Ihr squirrelmail-Paket zu aktualisieren.
- CAN-2004-0519
- Behoben in:
-
Debian GNU/Linux 3.0 (woody)
- Quellcode:
- http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4.dsc
- http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4.diff.gz
- http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6.orig.tar.gz
- http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4.diff.gz
- Architektur-unabhängige Dateien:
- http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4_all.deb
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.