Bulletin d'alerte Debian
DSA-988-1 squirrelmail -- Plusieurs vulnérabilités
- Date du rapport :
- 8 mars 2006
- Paquets concernés :
- squirrelmail
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le système de suivi des bogues Debian : Bogue 354062, Bogue 354063, Bogue 354064, Bogue 355424.
Dans le dictionnaire CVE du Mitre : CVE-2006-0377, CVE-2006-0195, CVE-2006-0188. - Plus de précisions :
-
Plusieurs vulnérabilités ont été découvertes dans Squirrelmail, un système de webmail d'usage répandu. Le projet « Common Vulnerabilities and Exposures » a identifié les problèmes suivants :
- CVE-2006-0188
Martijn Brinkers et Ben Maurer ont découvert un défaut dans webmail.php qui permettait aux attaquants distants d'injecter des pages web arbitraires dans le cadre de droite, en fournissant une URL au paramètre right_frame.
- CVE-2006-0195
Martijn Brinkers et Scott Hughes ont découvert un conflit d'interprétation dans le filtre MagicHTML qui permettait à des attaquants distants de mener des attaques par script intersites, en utilisant des sélecteurs de feuille de style dotés de commentaires invalides comme « /* » et « */ », ou encore des slashes dans le mot-clé « url ». Ces sélecteurs sont interprétés par certains navigateurs web dont Internet Explorer.
- CVE-2006-0377
Vicente Aguilera du groupe Internet Security Auditors, S.L., a découvert une vulnérabilité d'injection CRLF qui permettait à des attaquants distants d'injecter des commandes IMAP arbitraires, en utilisant les caractères de nouvelle ligne dans le paramètre de boîte aux lettres de la commande sqimap_mailbox_select command. Il n'existe pas encore de moyen d'exploiter cette vulnérabilité d'« injection IMAP ».
Pour l'ancienne distribution stable (Woody), ces problèmes ont été corrigés dans la version 1.2.6-5.
Pour l'actuelle distribution stable (Sarge), ces problèmes ont été corrigés dans la version 2:1.4.4-8.
Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 2:1.4.6-1.
Nous vous recommandons de mettre à jour votre paquet squirrelmail.
- CVE-2006-0188
- Corrigé dans :
-
Debian GNU/Linux 3.0 (woody)
- Source :
- http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-5.dsc
- http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-5.diff.gz
- http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6.orig.tar.gz
- http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-5.diff.gz
- Composant indépendant de l'architecture :
- http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-5_all.deb
Debian GNU/Linux 3.1 (sarge)
- Source :
- http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.4.4-8.dsc
- http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.4.4-8.diff.gz
- http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.4.4.orig.tar.gz
- http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.4.4-8.diff.gz
- Composant indépendant de l'architecture :
- http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.4.4-8_all.deb
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.