Avis du CERT-FR

Objet: Vulnérabilité dans IMP

Gestion du document

Référence	CERTA-2009-AVI-037
Titre	Vulnérabilité dans IMP
Date de la première version	28 janvier 2009
Date de la dernière version	28 janvier 2009
Source(s)	Annonces de sécurité de la liste Horde
Pièce(s) jointe(s)	Aucune(s)

Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Injection de code indirecte.

Systèmes affectés

IMP versions antérieures à 4.2.2 ;
IMP versions antérieures à 4.3.3.

Résumé

Des vulnérabilités dans Horde IMP permettent à une personne malintentionnée d'effectuer une injection de code indirecte.

Description

Des vulnérabiltiés de type injection de code indirecte ont été corrigées dans Horde IMP. Celles-ci sont dues à un manque de contrôle de paramètres d'entrée des fichiers smime.php, pgp.php et message.php.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Annonce de sécurité du 27 janvier pour IMP 4.2.2 :

http://lists.horde.org/archives/announce/2009/000484.html

Annonce de sécurité du 27 janvier pour IMP 4.3.3 :

http://lists.horde.org/archives/announce/2009/000485.html

Gestion détaillée du document

le 28 janvier 2009: version initiale.