S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 14 septembre 2009
N° CERTA-2009-AVI-385
Affaire suivie par: CERT-FR
le 14 septembre 2009

Avis du CERT-FR

Objet: Vulnérabilités dans Horde Application Framework

Gestion du document

Référence CERTA-2009-AVI-385
Titre Vulnérabilités dans Horde Application Framework
Date de la première version 14 septembre 2009
Date de la dernière version 14 septembre 2009
Source(s) Mise à jour de sécurité Horde du 14 septembre 2009
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance ;
  • atteinte à l'intégrité des données ;
  • injection de code indirecte.

Systèmes affectés

Horde Application Framework 3.x.

Résumé

Plusieurs vulnérabilités découvertes dans Horde Application Framework peuvent être exploitées pour porter atteinte à l'intégrité des données, pour exécuter du code arbitraire à distance et réaliser une attaque de type Cross Site Scripting.

Description

Plusieurs vulnérabilités ont été découvertes dans Horde Application Framework :

  • une erreur dans le traitement des formulaires permet à une personne malveillante de porter atteinte à l'intégrité des données locales ;
  • une erreur dans la bibliothèque MIME Viewer peut être exploitée pour injecter ou exécuter du code arbitraire à distance ou de façon indirecte dans le contexte du navigateur ;
  • un manque de contrôle sur les données manipulées peut être exploité pour injecter ou exécuter du code arbitraire à distance ou de façon indirecte dans le contexte du navigateur.

Solution

Appliquer les mises à jour de sécurité Horde en passant aux versions 3.2.5 ou 3.3.5. Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 14 septembre 2009
    version initiale.