Debian DSA-1966-1 : horde3 - 不十分な入力サニタイジング

medium Nessus プラグイン ID 44831

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

horde Web アプリケーションフレームワークの horde3 に、いくつかの脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2009-3237 horde3 が、テキスト/平文を　MIME タイプとして使用する際に、細工された番号のプリファレンスまたはインラインの MIME テキスト部分を介した、クロスサイトスクリプティング攻撃に脆弱であることが判明しました。lenny では、この問題はすでに修正されましたが、追加のセキュリティ措置として、インラインテキストのディスプレイは構成ファイルで無効になりました。

- CVE-2009-3701 horde3 管理インターフェイスが、PHP_SELF 変数を使用するため、クロスサイトスクリプティングの攻撃に脆弱であることが判明しました。この問題は、認証される管理者によってのみ悪用可能です。

- CVE-2009-4363 horde3 が、HTML メッセージの細工されたデータテキスト/html の値を介した、いくつかのクロスサイトスクリプティング攻撃に脆弱であることが判明しました。

ソリューション

horde3 パッケージをアップグレードしてください。

安定版（stable）ディストリビューション（lenny）では、これらの問題はバージョン 3.2.2+debian0-2+lenny2 で修正されました。

旧安定版（oldstable）ディストリビューション（etch）では、これらの問題はバージョン 3.1.3-4etch7 で修正されました。