CentOS 3 / 4：SquirrelMail（CESA-2005:595-02）

medium Nessus プラグイン ID 67029

Language:

概要

リモートの CentOS ホストにセキュリティ更新がありません。

説明

2 つのセキュリティの問題を修正する更新済みの squirrelmail パッケージが、現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

[2005 年 8 月 4 日更新済み] このエラータでこれまでリリースされた SquirrelMail パッケージには、アドレス帳が使用できなくなるバグがありました。
エラータは、この問題を修正するパッケージで更新されています。

SquirrelMail は、PHP4 で書かれて標準ベースの webmail パッケージです。

SquirrelMail が $_POST 変数を処理する方法でバグが見つかりました。
ユーザーが騙されて、悪意のある URL を閲覧する場合、そのユーザーの SquirrelMail 設定が読み取られたり、改ざんされたりする可能性があります。Common Vulnerabilities and Exposures プロジェクトは、この問題に CVE-2005-2095 という名前を割り当てました。

いくつかのクロスサイトスクリプティングのバグが SquirrelMail で発見されました。攻撃者は、ユーザーを騙して注意深く細工された URL を閲覧させたり、注意深く作り上げられた HTML メールメッセージを送信することで、任意の JavaScript または HTML のコンテンツを SquirrelMail ページに注入したりする可能性があります。Common Vulnerabilities and Exposures プロジェクトは、この問題に CVE-2005-1769 という名前を割り当てました。

SquirrelMail の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージにアップグレードし、これらの問題を解決する必要があります。