DebianDLA-2564-1：php-horde-text-filterのセキュリティ更新

medium Nessus プラグイン ID 146700

Language:

概要

リモートのDebianホストにセキュリティ更新プログラムがありません。

説明

Alex Birnberg氏は、Hordeアプリケーションフレームワーク（より正確にはそのテキストフィルターAPI）にクロスサイトスクリプティング（XSS）の脆弱性を発見しました。
攻撃者が細工されたメールを送信することで、ユーザーのメールボックスを乗っ取る可能性があります。

CVE-2021-26929

Horde Groupware Webmail Edition（Horde_Text_Filterライブラリを使用）でXSSの問題が発見されました。攻撃者は、特注の\x00\x00\x00および\x01\x01\x01の使用がXSS防御と干渉するため、Text2html.phpのpreProcessで誤って処理されるJavascriptをリンクまたは電子メールとしてエンコードした、テキスト形式の電子メールメッセージを送信することができます。

Debian 9 'Stretch'では、この問題はバージョン2.3.5-1+deb9u1で修正されています。

お使いのphp-horde-text-filterパッケージをアップグレードすることを推奨します。

php-horde-text-filterの詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
https://security-tracker.debian.org/tracker/php-horde-text-filter

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。