Debian DSA-2291-1：squirrelmail - さまざまな脆弱性

medium Nessus プラグイン ID 55776

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

さまざまな脆弱性が、Web メールアプリケーションの SquirrelMail で発見されています。Common Vulnerabilities and Exposures プロジェクトでは、次の脆弱性を特定しています：

- CVE-2010-4554 SquirrelMail は、サードパーティ HTML フレーム内のページレンダリングを回避していませんでした。これにより、リモートの攻撃者が、細工された Web サイトを通じたクリックジャッキング攻撃を仕掛けやすくなります。

- CVE-2010-4555、CVE-2011-2752、CVE-2011-2753 SquirrelMail の複数の小さなバグにより、攻撃者が、さまざまなページに悪意のあるスクリプトを注入したり、ユーザー設定の内容を変更することができます。

- CVE-2011-2023 メールメッセージの HTML 部分において、細工された STYLE 要素から任意の Web スクリプトまたは HTML を注入することが可能でした。

ソリューション

squirrelmailパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（lenny）では、これらの問題はバージョン1.4.15-4+lenny5で修正されました。

安定版（stable）ディストリビューション（squeeze）に対して、バージョン 1.4.21-2 でこれらの問題は修正されています。