Bulletin d'alerte Debian

DSA-535-1 squirrelmail -- Plusieurs vulnérabilités

Date du rapport :

2 août 2004

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans la base de données de suivi des bogues (chez SecurityFocus) : Identifiant BugTraq 10246, Identifiant BugTraq 10439.
Dans le dictionnaire CVE du Mitre : CVE-2004-0519, CVE-2004-0520, CVE-2004-0521, CVE-2004-0639.

Plus de précisions :

Quatre vulnérabilités ont été découvertes dans squirrelmail :

CAN-2004-0519
Plusieurs vulnérabilités de script sur les éléments dynamiques (XSS) dans la version 1.4.2 de SquirrelMail permettent à des attaquants distants d'exécuter n'importe quel script avec les permissions d'autres utilisateurs et de dérober des informations d'authentification à travers plusieurs vecteurs d'attaque, y compris les paramètres des boîtes à lettre dans compose.php.
CAN-2004-0520
Une vulnérabilité de script sur les éléments dynamiques (XSS) dans mime.php pour les versions de SquirrelMail antérieures à la 1.4.3 permet à des attaquants distants d'insérer n'importe quel code HTML et n'importe quel script via l'en-tête de courriel de type de contenu (content-type), comme démontré en utilisant read_body.php.
CAN-2004-0521
Une vulnérabilité d'injection SQL dans les versions de SquirrelMail antérieures à la première candidate à la publication 1.4.3 permet à des attaquants distants d'exécuter des requêtes SQL non autorisées, dont l'impact est inconnu, probablement par abook_database.php.
CAN-2004-0639
Plusieurs vulnérabilités de script sur les éléments dynamiques (XSS) dans les versions de Squirrelmail antérieures à la 1.2.10 permettent à des attaquants distants d'injecter n'importe quel code HTML ou n'importe quel script par (1) la variable $mailer dans read_body.php, (2) la variable $senderNames_part dans mailbox_display.php, et peut-être d'autres vecteurs dont (3) la variable $event_title, ou (4) la variable $event_text.

Pour la distribution stable (Woody), ces problèmes ont été corrigés dans la version 1:1.2.6-1.4.

Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 2:1.4.3a-0.1.

Nous vous recommandons de mettre à jour votre paquet squirrelmail.

Corrigé dans :

Source :: http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4.dsc; http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4.diff.gz; http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6.orig.tar.gz
Composant indépendant de l'architecture :: http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4_all.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.