S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 04 décembre 2006
N° CERTA-2006-AVI-526-002
Affaire suivie par: CERT-FR
le 04 décembre 2006

Avis du CERT-FR

Objet: Vulnérabilités dans SquirrelMail

Gestion du document

Référence CERTA-2006-AVI-526-002
Titre Vulnérabilités dans SquirrelMail
Date de la première version 04 décembre 2006
Date de la dernière version 26 mars 2007
Source(s) Bulletin de sécurité SquirrelMail du 02 décembre 2006
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Attaque de type Cross Site Scripting.

Systèmes affectés

Toute version de SquirrelMail antérieures à 1.4.9a.

Résumé

Deux vulnérabilités dans SquirrelMail permettent à un utilisateur distant de réaliser une attaque de type Cross Site Scripting.

Description

Ces vulnérabilités sont causées par un manque de contrôle sur les arguments retournés à l'utilisateur et par une erreur dans le filtre HTML magicHTML. Les scripts PHP vulnérables, webmail.php et compose.php, sont exécutés depuis les menus draft, compose et mailto. Un utilisateur distant peut exploiter ces vulnérabilités afin d'injecter du code arbitraire depuis le serveur (sain) et l'exécuter dans le contexte du navigateur Internet de l'utilisateur connecté.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 04 décembre 2006
    version initiale.
    le 02 février 2007
    ajout des références aux bullentins de sécurité RedHat, Debian et SuSE.
    le 26 mars 2007
    ajout de la référence au bulletin de sécurité SuSE.