Vulnerability Bulletins |
Cross-Site Scripting en Horde Turba Contact Manager |
|
Vulnerability classification |
|
| Property | Value |
| Confidence level | Oficial |
| Impact | Obtener acceso |
| Dificulty | Avanzado |
| Required attacker level | Acceso remoto sin cuenta a un servicio estandar |
System information |
|
| Property | Value |
| Affected manufacturer | GNU/Linux |
| Affected software | Horde Turba Contact Manager H3 2.2.1 |
Description |
|
|
Se ha descubierto una vulnerabilidad de tipo Cross-Site Scripting en Horde Turba Contact Manager H3 2.2.1. La vulnerabilidad reside en un error en la validación de la información introducida por el usuario en el script "test.php". Un atacante remoto podría inyectar código web script o HTML arbitrario y robar las credenciales de autenticación basadas en "cookies" de la víctima mediante el texto introducido en el campo "User" en una sesión IMAP. |
|
Solution |
|
|
Actualización de software Suse Linux Las actualizaciones pueden descargarse mediante YAST o del servidor FTP oficial de Suse Linux. Debian (DSA-1770-1) Debian Linux 4.0 Source http://security.debian.org/pool/updates/main/i/imp4/imp4_4.1.3-4etch1.dsc http://security.debian.org/pool/updates/main/i/imp4/imp4_4.1.3.orig.tar.gz http://security.debian.org/pool/updates/main/i/imp4/imp4_4.1.3-4etch1.diff.gz Arquitectura independiente: http://security.debian.org/pool/updates/main/i/imp4/imp4_4.1.3-4etch1_all.deb |
|
Standar resources |
|
| Property | Value |
| CVE | CVE-2008-4182 |
| BID | 31168 |
Other resources |
|
|
SUSE Security Advisory (SUSE-SR:2008:026) http://www.novell.com/linux/security/advisories/2008_26_sr.html Debian Security Advisory (DSA-1770-1) http://lists.debian.org/debian-security-announce/2009/msg00081.html |
|
Version history |
||
| Version | Comments | Date |
| 1.0 | Aviso emitido | 2008-12-05 |
| 1.1 | Aviso emitido por Debian (DSA-1770-1) | 2009-04-14 |