S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 11 août 2006
N° CERTA-2006-AVI-351
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité de SquirrelMail

Gestion du document

Référence CERTA-2006-AVI-351
Titre Vulnérabilité de SquirrelMail
Date de la première version11 août 2006
Date de la dernière version28 septembre 2006
Source(s) Bulletin de sécurité du projet SquirrelMail
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Atteinte à la confidentialité des données
  • Contournement de la politique de sécurité

Systèmes affectés

Les versions de SquirrelMail comprises entre 1.4.0 et 1.4.7 (incluses).

Description

SquirrelMail est un outil de webmail écrit en PHP4, et permettant d'intéragir avec les protocoles IMAP et SMTP. Une vulnérabilité a été identifiée dans la fonction compose.php. Cette dernière permet de restaurer le message en cours d'écriture quand la session de l'utilisateur expire.

Une personne malveillante authentifiée sur le système peut profiter de cette vulnérabilité pour lire ou écrire dans certaines variables, et ainsi accéder à certaines options de l'utilisateur ou à des documents stockés en pièce jointe.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 11 août 2006
    version initiale ;
    le 17 août 2006
    ajout du bulletin de sécurité FreeBSD ;
    le 23 août 2006
    ajout du bulletin de sécurité Debian.
    le 28 septembre 2006
    ajout des bulletins de sécurité SuSE et Red Hat.