Рекомендация Debian по безопасности

DSA-535-1 squirrelmail -- различные уязвимости

Дата сообщения:

02.08.2004

Затронутые пакеты:

Уязвим:

Да

Ссылки на базы данных по безопасности:

В базе данных Bugtraq (на SecurityFocus): Идентификатор BugTraq 10246, Идентификатор BugTraq 10439.
В каталоге Mitre CVE: CVE-2004-0519, CVE-2004-0520, CVE-2004-0521, CVE-2004-0639.

Более подробная информация:

Обнаружены четыре уязвимости в squirrelmail:

CAN-2004-0519
Несколько уязвимостей к перекрёстным между сайтами скриптам (XSS) в SquirrelMail 1.4.2 позволяет удалённому нападающему выполнить произвольный скрипт от имени другого пользователя и, возможно, выкрасть информацию для авторизации путём атаки по разным направлениям, включая параметр mailbox (ящик) в compose.php.
CAN-2004-0520
Уязвимость к перекрёстным между сайтами скриптам (XSS) в mime.php SquirrelMail версий ранее 1.4.3 позволяет удалённому нападающему вставить произвольный код на HTML и скрипт. Для этого используется заголовок почтового сообщения, содержащий информацию о типе содержимого, как показано в read_body.php.
CAN-2004-0521
Уязвимость к вставке SQL в SquirrelMail версий ранее 1.4.3 RC1 позволяет удалённому нападающему выполнять операторы SQL без авторизации. Опасность не вполне определена. Вероятно, это делается посредством abook_database.php.
CAN-2004-0639
Несколько уязвимостей к перекрёстным между сайтами скриптами (XSS) в SquirrelMail 1.2.10 и более ранних позволяют удалённому нападающему вставить произвольный код на HTML или скрипт посредством (1) переменной $mailer в read_body.php, (2) переменной $senderNames_part в mailbox_display.php. Возможно, также уязвимы (3) переменная $event_title и (4) переменная $event_text.

В текущем стабильном дистрибутиве (woody) эти проблемы исправлены в версии 1:1.2.6-1.4.

В нестабильном дистрибутиве (sid) эти проблемы исправлены в версии 2:1.4.3a-0.1 и более ранних версиях.

Мы рекомендуем вам обновить пакет squirrelmail.

Исправлено в:

Debian GNU/Linux 3.0 (woody)

Исходный код:: http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4.dsc; http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4.diff.gz; http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6.orig.tar.gz
Независимые от архитектуры компоненты:: http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4_all.deb

Контрольные суммы MD5 этих файлов доступны в исходном сообщении.