S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 18 août 2006
N° CERTA-2006-AVI-368
Affaire suivie par: CERT-FR
le 18 août 2006

Avis du CERT-FR

Objet: Multiples vulnérabilités dans Horde IMP

Gestion du document

Référence CERTA-2006-AVI-368
Titre Multiples vulnérabilités dans Horde IMP
Date de la première version 18 août 2006
Date de la dernière version 18 août 2006
Source(s) Bulletins de sécurité Horde #293 et #294 du 17 août 2006
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Cross-Site Scripting.

Systèmes affectés

  • Horde IMP versions 4.0.4 et antérieures ;
  • Horde IMP versions 4.1.2 et antérieures.

Résumé

De multiples vulnérabilités dans Horde IMP permettent à un utilisateur distant mal intentionné de réaliser une attaque de type Cross-Site Scripting.

Description

Un manque de contrôle sur le nom des répertoires passés en paramètres à Horde IMP permet à un utilisateur distant mal intentionné d'injecter une page web ou du script arbitraire dans le contexte du navigateur de la victime consultant le site vulnérable.

Solution

Les versions 4.0.5 et 4.1.3 de Horde IMP corrigent le problème : 

http://ftp.horde.org/pub/imp/imp-h3-4.0.5.tar.gz

http://ftp.horde.org/pub/imp/imp-h3-4.1.3.tar.gz

Documentation

Gestion détaillée du document

    le 18 août 2006
    version initiale.