int(954)

Vulnerability Bulletins


Cross-site scripting en Squirrelmail

Vulnerability classification

Property Value
Confidence level Oficial
Impact Obtener acceso
Dificulty Avanzado
Required attacker level Acceso remoto sin cuenta a un servicio exotico

System information

Property Value
Affected manufacturer GNU/Linux
Affected software SquirrelMail <= 1.4.3 RC1
SquirrelMail 1.4.3 (CVS < 24-May-2004)
SquirrelMail 1.5.0
SquirrelMail 1.5.1 (CVS < 24-May-2004)

Description

Se han descubierto múltiples vulnerabilidades de XSS (cross-site scripting) en el popular paquete de webmail SquirrelMail.

La explotación de estas vulnerabilidades, enviando un e-mail especialmente diseñado que la víctima debería leer a través de SquirrelMail, permitiría ejecutar scripts en el contexto del navegador web de la víctima, con consecuencias como un compromiso de su cuenta de webmail, robo de cookies, o explotación de vulnerabilidades locales en el navegador.

Algunos de los puntos identificados como vulnerables son:
- Variable $mailer en read_body.php
- Variable $senderNames_part en mailbox_display.php
- Variable $event_title
- Variable $event_text

Solution

Si lo desea, aplique los mecanismos de actualización propios de su distribución, o bien baje las fuentes del software y compílelo usted mismo.


Actualización de software

SquirrelMail
Usuarios de la rama 1.4: Actualización a 1.4.3a
http://www.squirrelmail.org/countdl.php?fileurl=http%3A%2F%2Fprdownloads.sf.net%2Fsquirrelmail%2Fsquirrelmail-1.4.3a.tar.gz
http://www.squirrelmail.org/countdl.php?fileurl=http%3A%2F%2Fprdownloads.sf.net%2Fsquirrelmail%2Fsquirrelmail-1.4.3a.tar.bz2
http://www.squirrelmail.org/countdl.php?fileurl=http%3A%2F%2Fprdownloads.sf.net%2Fsquirrelmail%2Fsquirrelmail-1.4.3a.zip
Usuarios de la rama 1.5: Actualización desde CVS o a la versión 1.5.1
http://www.squirrelmail.org/download.php

Debian Linux
Debian Linux 3.0
http://security.debian.org/pool/updates/main/s/squirrelmail/squirrelmail_1.2.6-1.4_all.deb

Standar resources

Property Value
CVE CAN-2004-0639
BID 10450

Other resources

RS-Labs Security Advisory RS-2004-1
http://www.rs-labs.com/adv/RS-Labs-Advisory-2004-1.txt

Debian Security Advisory DSA-535-1
http://lists.debian.org/debian-security-announce/debian-security-announce-2004/msg00138.html

Version history

Version Comments Date
1.0 Aviso emitido 2004-08-03
Ministerio de Defensa
CNI
CCN
CCN-CERT