Debians sikkerhedsbulletin

DSA-1241-1 squirrelmail -- udførelse af skripter på tværs af websteder

Rapporteret den:

25. dec 2006

Berørte pakker:

squirrelmail

Sårbar:

Referencer i sikkerhedsdatabaser:

I Mitres CVE-ordbog: CVE-2006-6142.

Yderligere oplysninger:

Martijn Brinkers har opdaget en sårbarhed i forbindelse med udførelse af skripter tværs af websteder (cross-site scripting) i mailto-parameteret i webmail.php, parametrene session og delete_draft i compose.php og gennem en begræsning i filteret magicHTML. En angriber kunne misbruge disse sårbarheder til at udføre ondsindet JavaScript i brugerens webmail-session.

Der er også udviklet en omgåelse af et problem i versioner af Internet Explorer mindre end eller lig med 5: Internet Explorer prøver at gætte vedhæftelsers MIME-type baseret på indholdet, ikke den modtagne MIME. Vedhæftelser kunne udgive sig for at være "harmløse" JPEG-filer, mens de i virkeligheden var HTML som Internet Explorer kunne fortolke.

I den stabile distribution (sarge) er disse problemer rettet i version 2:1.4.4-10.

I den kommende stabile distribution (etch) er disse problemer rettet i version 2:1.4.9a-1.

I den ustabile distribution (sid) er disse problemer rettet i version 2:1.4.9a-1.

Vi anbefaler at du opgraderer din squirrelmail-pakke.

Rettet i:

Debian GNU/Linux 3.1 (sarge)

Kildekode:: http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.4.4-10.dsc; http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.4.4-10.diff.gz; http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.4.4.orig.tar.gz
Arkitekturuafhængig komponent:: http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.4.4-10_all.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.