S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 31 janvier 2005
N° CERTA-2005-AVI-038
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans SquirrelMail

Gestion du document

Référence CERTA-2005-AVI-038
Titre Multiples vulnérabilités dans SquirrelMail
Date de la première version31 janvier 2005
Date de la dernière version10 juin 2005
Source(s) Avis de sécurité SquirrelMail
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Atteinte à l'intégrité des données
  • Exécution de code arbitraire

Systèmes affectés

  • SquirrelMail versions 1.4.0 RC1 à 1.4.4 RC1 (vulnérabilités CAN-2005-0103 et CAN-2005-104) ;
  • SquirrelMail versions 1.4.3 RC1 à 1.4.4 RC1(vulnérabilité CAN-2005-0075).

Résumé

Trois vulnérabilités présentes dans SquirrelMail permettent d'exécuter du code arbitraire sur le serveur ou sur le client (Cross Site Scripting).

Description

SquirrelMail est une application de type Webmail écrite en PHP4. Plusieurs vulnérabilités ont été découvertes dans SquirrelMail :

  • une vulnérabilité présente dans la page prefs.php permet à un individu mal intentionné d'exécuter du code arbitraire sur le serveur SquirrelMail. Cette vulnérabilité affecte uniquement les personnes ayant activé la variable register_globals à On (vulnérabilité CAN-2005-0075) ;
  • une vulnérabilité dans le traitement des variables des adresses réticulaires (URL) permet à un individu mal intentionné, via une URL judicieusement construite, d'inclure une page web malicieuse dans SquirrelMail (vulnérabilité CAN-2005-0103) ;
  • une vulnérabilité de type Cross Site Scripting est présente dans la page webmail.php qui permet à un individu mal intentionné d'exécuter du code arbitraire sur les clients accédant à SquirrelMail (vulnérabilité CAN-2005-104).

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 31 janvier 2005
    version initiale.
    le 01 février 2005
    ajout de la référence au bulletin de sécurité Debian DSA-662 et de la référence CVE CAN-2005-0152.
    le 02 février 2005
    ajout de la référence au bulletin de sécurité Gentoo GLSA 200501-39.
    le 11 février 2005
    ajout de la référence au bulletin de sécurité RedHat RHSA-2005:135.
    le 17 février 2005
    ajout de la référence à un second bulletin de sécurité RedHat, RHSA-2005:099.
    le 01 mars 2005
    ajout de la référence au bulletin de sécurité NetBSD.
    le 08 juin 2005
    ajout de la référence au bulletin de sécurité SUSE.
    le 10 juin 2005
    ajout de la référence au bulletin de sécurité FreeBSD.