Multiples vulnérabilités dans Squirrelmail

Risque

Atteinte à l'intégrité des données ;
atteinte à la confidentialité des données ;
attaque de type Cross-site Scripting.

Systèmes affectés

SquirrelMail versions 1.4.5 et antérieures.

Résumé

Plusieures vulnérabilités dans SquirrelMail permettent à un utilisateur mal intentionné de porter atteinte à l'intégrité ou à la confidentialité des données et également de réaliser une attaque de type Cross-Site Scripting.

Description

Trois vulnérabilités ont été identifiées dans SquirrelMail :

La première vulnérabilité est due à un manque de contrôle du paramètre right_main du fichier webmail.php. Elle permet à un utilisateur distant mal intentionné d'injecter du code et de réaliser une attaque de type Cross-Site Scripting par le biais d'un courrier électronique malicieusement construit.
La deuxième vulnérabilité est due à un manque de contrôle dans le traitement des lignes de commentaires dans les zones de définition de styles. Elle permet à un utilisateur distant d'injecter du code et de réaliser une attaque de type Cross-Site Scripting par le biais d'un courrier électronique malicieusement construit.
La dernière vulnérabilité est due à un manque de contrôle du paramètre sqimap_mailbox_select. Elle permet à un utilisateur local et identifié d'exécuter des commandes IMAP ou SMTP arbitraires et de porter ainsi atteinte à l'intégrité ou la confidentialité des données présentes dans les comptes de messagerie.

Solution

La version CVS de SquirrelMail corrige le problème.

Documentation

Site de SquirrelMail :
```
http://www.squirrelmail.org
```
Bulletin de sécurité SquirrelMail du 01 février 2006 :
```
http://www.squirrelmail.org/security/issue/2006-02-01
```
Bulletin de sécurité SquirrelMail du 10 février 2006 :
```
http://www.squirrelmail.org/security/issue/2006-02-10
```
Bulletin de sécurité SquirrelMail du 15 février 2006 :
```
http://www.squirrelmail.org/security/issue/2006-02-15
```

Bulletin de sécurité Mandriva du 27 février 2006 :

http://wwwnew.mandriva.com/security/advisories?name=MDKSA-2006:049

Bulletin de sécurité FreeBSD pour squirrelmail du 24 février 2006 :
```
http://www.vuxml.org/freebsd/pkg-squirrelmail.html
```
Bulletin de sécurité Debian DSA-988 du 08 mars 2006 :
```
http://www.debian.org/security/2006/dsa-988
```

Bulletin de sécurité SUSE SUSE-SR:2006:005 du 03 mars 2006 :

http://www.novell.com/linux/security/advisories/2006_05_sr.html

Bulletin de sécurité Gentoo GLSA 200603-09 du 12 mars 2006 :
```
http://www.gentoo.org/security/en/glsa/glsa-200603-09.xml
```

Référence CVE CVE-2006-0188 :

https://www.cve.org/CVERecord?id=CVE-2006-0188

Référence CVE CVE-2006-0195 :

https://www.cve.org/CVERecord?id=CVE-2006-0195

Référence CVE CVE-2006-0377 :

https://www.cve.org/CVERecord?id=CVE-2006-0377

Référence	CERTA-2006-AVI-095-003
Titre	Multiples vulnérabilités dans Squirrelmail
Date de la première version	28 février 2006
Date de la dernière version	13 mars 2006
Source(s)	Bulletins de sécurité SquirrelMail du 01 février 2006 Bulletins de sécurité SquirrelMail du 10 février 2006 Bulletins de sécurité SquirrelMail du 15 février 2006
Pièce(s) jointe(s)	Aucune(s)

Avis du CERT-FR

Objet: Multiples vulnérabilités dans Squirrelmail

Gestion du document