S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 15 septembre 2008
N° CERTA-2008-AVI-458
Affaire suivie par: CERT-FR
le 15 septembre 2008

Avis du CERT-FR

Objet: Multiples vulnérabilités dans Horde

Gestion du document

Référence CERTA-2008-AVI-458
Titre Multiples vulnérabilités dans Horde
Date de la première version 15 septembre 2008
Date de la dernière version 15 septembre 2008
Source(s) Bulletins de sécurité Horde
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Injection de code indirecte (cross-site scripting).

Systèmes affectés

  • Horde Groupeware versions 1.0.6 et antérieures ;
  • Horde Groupeware versions 1.1.2 et antérieures ;
  • Horde Groupeware Webmail Edition versions 1.0.7 et antérieures ;
  • Horde Groupeware Webmail Edition versions 1.1.2 et antérieures ;
  • Horde Application Framework versions 3.1.8 et antérieures ;
  • Horde Application Framework versions 3.2.2 et antérieures.

Résumé

Plusieurs vulnérabilités sont présentes dans les produits Horde et permettent à un utilisateur distant malintentionné de réaliser des attaques de type « injection de code indirecte » (cross-site scripting).

Description

Deux vulnérabilités sont présentes dans plusieurs produits Horde comme Groupeware, Groupeware Webmail Edition et Application Framework. Ces vulnérabilités sont relatives à la mise en œuvre d'extensions MIME ou bien à la gestion de certains caractères d'échappement. Elles permettent à un utilisateur distant malintentionné de réaliser des attaques de type « injection de code indirecte » (cross-site scripting).

Contournement provisoire

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 15 septembre 2008
    version initiale.