1 つのセキュリティの問題といくつかのバグを修正する更新済みの squirrelmail パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

SquirrelMail は PHP で書かれた標準ベースの Webmail パッケージです。

SquirrelMail セキュリティ更新 RHSA-2012:0103 が、記述されているエラータテキストとは異なり、CVE-2010-2813 の問題、つまり SquirrelMail が失敗したログを処理しようとする方法にある欠陥を、修正していませんでした。8 ビット文字を含んでいるパスワードでログインしようとすると、ユーザー名が有効でなくても、ユーザー設定ファイルが作成されていました。リモートの攻撃者が、この欠陥を利用し、最終的にターゲットの SquirrelMail サーバーのハードディスクの全スペースを消費する可能性があります。(CVE-2012-2124)

この更新は以下のバグも修正します：

* この更新が出る前は、SquirrelMail は複数行の件名を適切に解読できませんでした。その結果、デコードヘッダーの国際化オプションが、行の先頭にある新しい行やタブを適切に処理していませんでした。このバグは修正されていて、現在は SquirrelMail は上述のシナリオで適切に動作します。
（BZ#241861）

* バグのため、Windows オペレーティングシステムで HTML コードで書かれた添付ファイルが、SquirrelMail でアクセスされたときには適切に表示されませんでした。「!= null」文字列が「!ull」にトリミングされていました。このバグが修正され、現在は、このような場合でも添付ファイルは適切に表示されます。（BZ#359791）

* 以前は、一意識別子（UID）が 2^31 バイトより大きいメールメッセージは、squirrelmail パッケージを使用していると読み込めませんでした。
このパッチにより、squirrelmail パッケージは、 UID のサイズに関わらず、すべてのメッセージを読み込めるようになりました。（BZ#450780）

* バグがあるため、PHP スクリプトが、リクエストされた変数に適切な文字セットを割り当てていませんでした。この結果、SquirrelMail はメールをまったく表示できませんでした。下層にあるソースコードが修正され、現在は squirrelmail パッケージは正しい文字セットを割り当てるようになっています。（BZ#475188）

* i18n.php ファイルにある国際化オプションが適切でないため、 squirrelmail パッケージが、 GB 2312 文字セットを使用できませんでした。i18n.php ファイルが修正され、上述のシナリオでも GB 2312 文字セットが正しく機能するようになっています。（BZ#508686）

* 以前は、preg_split() 関数に「PREG_SPLIT_NI_EMPTY」というスペル間違った定数があり、これにより SquirrelMail がエラーメッセージを生成していました。定数の名前が「PREG_SPLIT_NO_EMPTY」と訂正され、このシナリオで SquirrelMail はエラーメッセージを生成しなくなりました。（BZ#528758）

* Security-Enhanced Linux（SELinux）の設定のため、 SquirrelMail の Web インターフェイスからのメール送信がブロックされていました。この更新により、 SquirrelMail の Web インターフェイスからのメール送信を可能にする SELinux オプションの設定方法についての説明が SquirrelMail のドキュメントに追加されました。（BZ#745380）

* 以前は、squirrelmail パッケージが、行の長さの制限に関する RFC 2822 仕様に適合していませんでした。この結果、行が 998 文字より長い添付ファイルを SquirrelMail を使用して転送することができませんでした。このパッチにより下層にあるソースコードが変更され、現在は SquirrelMail は予期していた通りに RFC 2822 仕様に適合するようになっています。
（BZ#745469）

* この更新以前では、squirrelmail パッケージが、パッケージのインストールやアップグレードの際に、mod_php スクリプトではなく、php-common スクリプトを要求し、これが依存関係エラーを発生させていました。結果として、php53 パッケージを使用しているシステムで、 squirrelmail パッケージをインストールやアップグレードしようとすると失敗しました。この更新により、squirrelmail パッケージの依存関係が変更され、上述のシナリオでのインストールやアップグレードは現在は正しく動作するようになっています。（BZ#789353）

SquirrelMail の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

SquirrelMail セキュリティ更新 SLSA-2012:0103 が、記述されているエラータテキストとは異なり、CVE-2010-2813 の問題、つまり SquirrelMail が失敗したログを処理しようとする方法にある欠陥を、修正していませんでした。8 ビット文字を含んでいるパスワードでログインしようとすると、ユーザー名が有効でなくても、ユーザー設定ファイルが作成されていました。リモートの攻撃者が、この欠陥を利用し、最終的にターゲットの SquirrelMail サーバーのハードディスクの全スペースを消費する可能性があります。(CVE-2012-2124)

この更新は以下のバグも修正します：

- この更新が出る前は、SquirrelMail は複数行の件名を適切に解読できませんでした。その結果、デコードヘッダーの国際化オプションが、行の先頭にある新しい行やタブを適切に処理していませんでした。
 このバグは修正されていて、現在は SquirrelMail は上述のシナリオで適切に動作します。

- バグのため、Windows オペレーティングシステムで HTML コードで書かれた添付ファイルが、SquirrelMail でアクセスされたときには適切に表示されませんでした。「!=null」文字列が「!ull」にトリミングされていました。このバグが修正され、現在は、このような場合でも添付ファイルは適切に表示されます。

- 以前は、一意識別子（UID）が 2^31 バイトより大きいメールメッセージは、squirrelmail パッケージを使用していると読み込めませんでした。このパッチにより、squirrelmail パッケージは、 UID のサイズに関わらず、すべてのメッセージを読み込めるようになりました。

- バグがあるため、PHP スクリプトが、リクエストされた変数に適切な文字セットを割り当てていませんでした。この結果、SquirrelMail はメールをまったく表示できませんでした。下層にあるソースコードが修正され、現在は squirrelmail パッケージは正しい文字セットを割り当てるようになっています。

- i18n.php ファイルにある国際化オプションが適切でないため、squirrelmail パッケージが、GB 2312 文字セットを使用できませんでした。i18n.php ファイルが修正され、上述のシナリオでも GB 2312 文字セットが正しく機能するようになっています。

- 以前は、preg_split() 関数に「PREG_SPLIT_NI_EMPTY」というスペル間違った定数があり、これにより SquirrelMail がエラーメッセージを生成していました。定数の名前が「PREG_SPLIT_NO_EMPTY」と訂正され、このシナリオで SquirrelMail はエラーメッセージを生成しなくなりました。

- Security-Enhanced Linux（SELinux）の設定のため、SquirrelMail の Web インターフェイスからのメール送信がブロックされていました。この更新により、 SquirrelMail の Web インターフェイスからのメール送信を可能にする SELinux オプションの設定方法についての説明が SquirrelMail のドキュメントに追加されました。

- 以前は、squirrelmail パッケージが、行の長さの制限に関する RFC 2822 仕様に適合していませんでした。
 この結果、行が 998 文字より長い添付ファイルを SquirrelMail を使用して転送することができませんでした。
 このパッチにより下層にあるソースコードが変更され、現在は SquirrelMail は予期していた通りに RFC 2822 仕様に適合するようになっています。

- この更新以前では、squirrelmail パッケージが、パッケージのインストールやアップグレードの際に、mod_php スクリプトではなく、php-common スクリプトを要求し、これが依存関係エラーを発生させていました。結果として、php53 パッケージを使用しているシステムで、 squirrelmail パッケージをインストールやアップグレードしようとすると失敗しました。この更新により、squirrelmail パッケージの依存関係が変更され、上述のシナリオでのインストールやアップグレードは現在は正しく動作するようになっています。

Red Hat セキュリティアドバイザリ 2013:0126 から：

1 つのセキュリティの問題といくつかのバグを修正する更新済みの squirrelmail パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

SquirrelMail は PHP で書かれた標準ベースの Webmail パッケージです。

SquirrelMail セキュリティ更新 RHSA-2012:0103 が、記述されているエラータテキストとは異なり、CVE-2010-2813 の問題、つまり SquirrelMail が失敗したログを処理しようとする方法にある欠陥を、修正していませんでした。8 ビット文字を含んでいるパスワードでログインしようとすると、ユーザー名が有効でなくても、ユーザー設定ファイルが作成されていました。リモートの攻撃者が、この欠陥を利用し、最終的にターゲットの SquirrelMail サーバーのハードディスクの全スペースを消費する可能性があります。(CVE-2012-2124)

この更新は以下のバグも修正します：

* この更新が出る前は、SquirrelMail は複数行の件名を適切に解読できませんでした。その結果、デコードヘッダーの国際化オプションが、行の先頭にある新しい行やタブを適切に処理していませんでした。このバグは修正されていて、現在は SquirrelMail は上述のシナリオで適切に動作します。
（BZ#241861）

*バグのため、Windows オペレーティングシステムで HTML コードで書かれた添付ファイルが、SquirrelMail でアクセスされたときには適切に表示されませんでした。「!= null」文字列が「!ull」にトリミングされていました。このバグが修正され、現在は、このような場合でも添付ファイルは適切に表示されます。（BZ#359791）

* 以前は、一意識別子（UID）が 2^31 バイトより大きいメールメッセージは、squirrelmail パッケージを使用していると読み込めませんでした。
このパッチにより、squirrelmail パッケージは、 UID のサイズに関わらず、すべてのメッセージを読み込めるようになりました。（BZ#450780）

* バグがあるため、PHP スクリプトが、リクエストされた変数に適切な文字セットを割り当てていませんでした。この結果、SquirrelMail はメールをまったく表示できませんでした。下層にあるソースコードが修正され、現在は squirrelmail パッケージは正しい文字セットを割り当てるようになっています。（BZ#475188）

* i18n.php ファイルにある国際化オプションが適切でないため、 squirrelmail パッケージが、 GB 2312 文字セットを使用できませんでした。i18n.php ファイルが修正され、上述のシナリオでも GB 2312 文字セットが正しく機能するようになっています。（BZ#508686）

* 以前は、preg_split() 関数に「PREG_SPLIT_NI_EMPTY」というスペル間違った定数があり、これにより SquirrelMail がエラーメッセージを生成していました。定数の名前が「PREG_SPLIT_NO_EMPTY」と訂正され、このシナリオで SquirrelMail はエラーメッセージを生成しなくなりました。（BZ#528758）

* Security-Enhanced Linux（SELinux）の設定のため、 SquirrelMail の Web インターフェイスからのメール送信がブロックされていました。この更新により、 SquirrelMail の Web インターフェイスからのメール送信を可能にする SELinux オプションの設定方法についての説明が SquirrelMail のドキュメントに追加されました。（BZ#745380）

* 以前は、squirrelmail パッケージが、行の長さの制限に関する RFC 2822 仕様に適合していませんでした。この結果、行が 998 文字より長い添付ファイルを SquirrelMail を使用して転送することができませんでした。このパッチにより下層にあるソースコードが変更され、現在は SquirrelMail は予期していた通りに RFC 2822 仕様に適合するようになっています。
（BZ#745469）

* この更新以前では、squirrelmail パッケージが、パッケージのインストールやアップグレードの際に、mod_php スクリプトではなく、php-common スクリプトを要求し、これが依存関係エラーを発生させていました。結果として、php53 パッケージを使用しているシステムで、 squirrelmail パッケージをインストールやアップグレードしようとすると失敗しました。この更新により、squirrelmail パッケージの依存関係が変更され、上述のシナリオでのインストールやアップグレードは現在は正しく動作するようになっています。（BZ#789353）

SquirrelMail の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

リモートのMiracleLinux 3ホストには、AXSA:2013-274:01アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    SquirrelMail は、PHP4 で書かれて標準ベースの webmail パッケージです。これには、IMAP および SMTP プロトコルに対する組み込みpure PHP のサポートが含まれ、すべてのページがpure HTML 4.0 Javascript なしでレンダリングされ、ブラウザ間で最大の互換性を実現します。要件が非常に少なく、設定とインストールは非常に簡単です。
    SquirrelMail には、強力な MIME サポート、アドレス帳、フォルダー操作など、メールクライアントに必要なすべての機能があります。
    このリリースで修正されたセキュリティ問題
     CVE-2012-2124 Red Hat Enterprise LinuxRHEL4 および 5 で使用されている SquirrelMail の functions/imap_general.php は、パスワードの 8 ビット文字を適切に処理しません。これにより、リモートの攻撃者が、多くの組み合わせを作成することで、サービス拒否ディスク消費を引き起こすことができます。異なるユーザー名での IMAP ログイン試行により、多数の環境設定ファイルの作成を引き起こす可能性があります。注この問題は CVE-2010-2813の修正が不適切であるため存在します。
    修正されたバグ：
     SquirrelMail は複数行の件名を適切に処理するようになりました。
     ウィンドウ上で HTML で書かれた添付ファイルが正しく表示されるようになりました。
     以前は、UID が 2^31 バイトを超えるメールメッセージは読み取り不可能でした。これは修正されました。
     PHP スクリプトがリクエストされた変数に適切な文字セットを割り当てることに失敗し、SquirrelMail が電子メールを表示できませんでした。これは修正されました。
     i18n.php ファイルにある正しくない国際化オプションを修正し、GB 2312 文字セットが正しく動作するようにしました。
     PREG_SPLIT_NI_EMPTY 定数のスペルが修正されました正しい名前は PREG_SPLIT_NO_EMPTY です。これは、一部のエラーメッセージを修正します。
     SquirrelMail Web インターフェイスからのメール送信を許可するための SELinux オプションの設定方法に関するメモを SquirrelMail ドキュメントに追加しました。
     SquirrelMail は RFC 2822 仕様に準拠するようになり、998 文字より長い行がある添付ファイルは転送できるようになりました。
     php-common スクリプトの依存関係を変更しました。これにより、php53 を使用するシステムに SquirrelMail をインストールまたはアップグレードできるようになりました。

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Red Hat Enterprise Linux（RHEL） 4 および 5 で使用される SquirrelMail の functions/imap_general.php は、パスワードの 8 ビット文字を適切に処理しません。これにより、リモートの攻撃者は、複数の IMAP ログインが異なるユーザー名で試行されると、多くの環境設定ファイルが作成されます。注：この問題は、 に対する修正が不適切なために存在しています CVE-2010-2813。
    (CVE-2012-2124)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
63409	RHEL 5：squirrelmail（RHSA-2013:0126）	Nessus	Red Hat Local Security Checks	2013/1/8	2021/1/14	medium
63604	Scientific Linux セキュリティ更新：SL5.x の squirrelmail（noarch）	Nessus	Scientific Linux Local Security Checks	2013/1/17	2021/1/14	medium
63571	CentOS 5：squirrelmail（CESA-2013:0126）	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	medium
68697	Oracle Linux 5：squirrelmail（ELSA-2013-0126）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	high
289181	MiracleLinux 3squirrelmail-1.4.8-21.AXS3AXSA:2013-274:01	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	high
217662	Linux Distros のパッチ未適用の脆弱性: CVE-2012-2124	Nessus	Misc.	2025/3/4	2026/1/28	critical

検出

プラグインの検索

medium

medium

medium

high

high

critical