- Fri May 22 2009 Michal Hlavinka <mhlavink at redhat.com>
    - 1.4.19-1

    - updated to 1.4.19

    - fixes CVE-2009-1579, CVE-2009-1580, CVE-2009-1581

    - Tue May 19 2009 Michal Hlavinka <mhlavink at       redhat.com> - 1.4.18-2

    - fix undefined variable aSpamIds (#501260)

    - Tue May 12 2009 Michal Hlavinka <mhlavink at       redhat.com> - 1.4.18-1

    - update to 1.4.18 (fixes CVE-2009-1581)

    - Thu Dec 4 2008 Michal Hlavinka <mhlavink at       redhat.com> - 1.4.17-1

    - update to 1.4.17 (fixes CVE-2008-2379)

    - Wed Oct 1 2008 Michal Hlavinka <mhlavink at       redhat.com> - 1.4.16-1

    - update to 1.4.16

    - resolves: #464185: CVE-2008-3663 Squirrelmail session       hijacking

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

From Red Hat Security Advisory 2009:1066 :

An updated squirrelmail package that fixes multiple security issues is now available for Red Hat Enterprise Linux 3, 4, and 5.

This update has been rated as having important security impact by the Red Hat Security Response Team.

SquirrelMail is a standards-based webmail package written in PHP.

A server-side code injection flaw was found in the SquirrelMail 'map_yp_alias' function. If SquirrelMail was configured to retrieve a user's IMAP server address from a Network Information Service (NIS) server via the 'map_yp_alias' function, an unauthenticated, remote attacker using a specially crafted username could use this flaw to execute arbitrary code with the privileges of the web server.
(CVE-2009-1579)

Multiple cross-site scripting (XSS) flaws were found in SquirrelMail.
An attacker could construct a carefully crafted URL, which once visited by an unsuspecting user, could cause the user's web browser to execute malicious script in the context of the visited SquirrelMail web page. (CVE-2009-1578)

It was discovered that SquirrelMail did not properly sanitize Cascading Style Sheets (CSS) directives used in HTML mail. A remote attacker could send a specially crafted email that could place mail content above SquirrelMail's controls, possibly allowing phishing and cross-site scripting attacks. (CVE-2009-1581)

Users of squirrelmail should upgrade to this updated package, which contains backported patches to correct these issues.

The remote host is affected by the vulnerability described in GLSA-201001-08 (SquirrelMail: Multiple vulnerabilities)

    Multiple vulnerabilities were found in SquirrelMail:
    Niels     Teusink reported multiple input sanitation flaws in certain encrypted     strings in e-mail headers, related to contrib/decrypt_headers.php,     PHP_SELF and the query string (aka QUERY_STRING) (CVE-2009-1578).
    Niels Teusink also reported that the map_yp_alias() function     in functions/imap_general.php does not filter shell metacharacters in a     username and that the original patch was incomplete (CVE-2009-1381,     CVE-2009-1579).
    Tomas Hoger discovered an unspecified session fixation     vulnerability (CVE-2009-1580).
    Luc Beurton reported that functions/mime.php does not protect     the application's content from Cascading Style Sheets (CSS) positioning     in HTML e-mail messages (CVE-2009-1581).
  Impact :

    The vulnerabilities allow remote attackers to execute arbitrary code     with the privileges of the user running the web server, to hijack web     sessions via a crafted cookie, to spoof the user interface and to     conduct Cross-Site Scripting and phishing attacks, via a specially     crafted message.
  Workaround :

    There is no known workaround at this time.

Red Hat セキュリティアドバイザリ 2009:1066 から：

複数のセキュリティ問題を修正する更新済みの squirrelmail パッケージが、Red Hat Enterprise Linux 3、4 および 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新に重大なセキュリティインパクトがあると評価しています。

SquirrelMail は PHP で書かれた標準ベースの Webmail パッケージです。

SquirrelMail の「map_yp_alias」関数で、サーバー側のコード注入の欠陥が見つかりました。SquirrelMail が、「map_yp_alias」関数を通じてネットワーク情報サービス (NIS) サーバーからユーザーの IMAP サーバーアドレスを取得するよう構成された場合、特別に細工されたユーザー名を使用する認証されていないリモートの攻撃者がこの欠陥を利用して、 Web サーバーの権限で任意のコードを実行することが可能です。
(CVE-2009-1579)

SquirrelMail に複数のクロスサイトスクリプティング（XSS）の欠陥が見つかりました。
攻撃者が、注意深く細工された URL を構築し、無防備なユーザーがこれにアクセスした場合に、アクセスした SquirrelMail の Web ページのコンテキストの悪意あるスクリプトをユーザーの Web ブラウザに実行させる可能性があります。(CVE-2009-1578)

SquirrelMail が、HTML メールで使用される Cascading Style Sheets（CSS）ディレクティブを適切にサニタイズしていないことが判明しました。リモートの攻撃者が、メールコンテンツを SquirrelMail のコントロールの上に配置することができる特別に細工されたメールを送信することが可能です。これにより、フィッシング攻撃とクロスサイトスクリプティング攻撃が可能になります。(CVE-2009-1581)

squirrelmail のユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージにアップグレードし、これらの問題を修正する必要があります。

來自 Red Hat 安全性公告 2009:1066：

現已提供適用於 Red Hat Enterprise Linux 3、4 和 5 的更新版 squirrelmail 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。

SquirrelMail 是以 PHP 撰寫的標準式 Webmail 套件。

在 SquirrelMail「map_yp_alias」函式中發現一個伺服器端程式碼插入瑕疵。如果將 SquirrelMail 設定為透過「map_yp_alias」函式從「網路資訊服務」(NIS) 伺服器擷取使用者的 IMAP 伺服器位址，則使用特製使用者名稱之未經驗證的遠端攻擊者可利用此瑕疵以 web 伺服器的權限執行任意程式碼。
(CVE-2009-1579)

在 SquirrelMail 中發現多個跨網站指令碼 (XSS) 瑕疵。
攻擊者可建構特製的 URL，一旦不知情的使用者造訪，可導致使用者的網頁瀏覽器在造訪之 SquirrelMail 網頁的環境中執行惡意指令碼。(CVE-2009-1578)

據發現，SquirrelMail 未正確清理在 HTML 郵件中使用的「階層式樣式表」(CSS) 指示詞。遠端攻擊者可傳送特製的電子郵件，其可使郵件內容不受 SquirrelMail 的控制，進而可能允許網路釣魚與跨網站指令碼攻擊。(CVE-2009-1581)

SquirrelMail 的使用者應升級至此更新版套件，其中包含可更正這些問題的反向移植修補程式。

リモートホストは、GLSA-201001-08 で説明されている脆弱性の影響を受けます（SquirrelMail：複数の脆弱性）

SquirrelMail に次の複数の脆弱性が見つかりました：
Niels Teusink 氏は、メールヘッダーの特定の暗号化文字列に複数の入力サニタイズの欠陥があることを報告しました。これは、contrib/decrypt_headers.php、PHP_SELF およびクエリ文字列（QUERY_STRING）に関連しています（CVE-2009-1578）。
 また、Niels Teusink 氏は、functions/imap_general.php の map_yp_alias() 関数が、ユーザー名のシェルメタ文字をフィルターしないことと、元のパッチが不完全であったことを報告しました（CVE-2009-1381、CVE-2009-1579）。
 Tomas Hoger 氏は、詳細不明のセッション固定の脆弱性を発見しました（CVE-2009-1580）。
 Luc Beurton 氏は、functions/mime.php が、HTML メールメッセージの Cascading Style Sheets（CSS）ポジショニングからアプリケーションのコンテンツを保護しないことを報告しました（CVE-2009-1581）。
 影響：

この脆弱性により、リモートの攻撃者が、Web サーバーを実行しているユーザーの権限で任意のコードを実行したり、細工されたクッキーを通じて Web セッションをハイジャックしたり、特別に細工されたメッセージを通じて、ユーザーインターフェイスを偽装し、クロスサイトスクリプティングやフィッシング攻撃を仕掛けたりすることが可能です。
 回避策：

現時点で、既知の回避策はありません。

来自 Red Hat 安全公告 2009:1066：

更新后的 squirrelmail 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 3、4 和 5。

Red Hat 安全响应团队将此更新评级为具有重要安全影响。

SquirrelMail 是以 PHP 编写的标准 webmail 程序包。

在 SquirrelMail 的 'map_yp_alias' 函数中发现服务器端的代码注入缺陷。如果 SquirrelMail 被配置为通过 'map_yp_alias' 函数从网络信息服务 (NIS) 检索用户的 IMAP 服务器地址，则未经认证的远程攻击者可使用特别构建的用户名，利用此缺陷以 Web 服务器的权限执行任意代码。
(CVE-2009-1579)

在 SquirrelMail 中发现多种跨站脚本 (XSS) 缺陷。
攻击者可构造精心构建的 URL，当毫无防范的用户访问此 URL 时，可导致用户的 Web 浏览器执行所访问 SquirrelMail 网页的上下文中的恶意脚本。(CVE-2009-1578)

已发现 SquirrelMail 未对 HTML 邮件中的层叠样式表 (CSS) 指令进行足够的审查。远程攻击者可发送特别构建的电子邮件，使邮件内容不受 SquirrelMail 控制，从而可能进行钓鱼攻击和跨站脚本攻击。(CVE-2009-1581)

squirrelmail 用户应升级此更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

Several remote vulnerabilities have been discovered in SquirrelMail, a webmail application. The Common Vulnerabilities and Exposures project identifies the following problems :

  - CVE-2009-1578     Cross site scripting was possible through a number of     pages which allowed an attacker to steal sensitive     session data.

  - CVE-2009-1579, CVE-2009-1381     Code injection was possible when SquirrelMail was     configured to use the map_yp_alias function to     authenticate users. This is not the default.

  - CVE-2009-1580     It was possible to hijack an active user session by     planting a specially crafted cookie into the user's     browser.

  - CVE-2009-1581     Specially crafted HTML emails could use the CSS     positioning feature to place email content over the     SquirrelMail user interface, allowing for phishing.

An updated squirrelmail package that fixes multiple security issues is now available for Red Hat Enterprise Linux 3, 4, and 5.

This update has been rated as having important security impact by the Red Hat Security Response Team.

SquirrelMail is a standards-based webmail package written in PHP.

A server-side code injection flaw was found in the SquirrelMail 'map_yp_alias' function. If SquirrelMail was configured to retrieve a user's IMAP server address from a Network Information Service (NIS) server via the 'map_yp_alias' function, an unauthenticated, remote attacker using a specially crafted username could use this flaw to execute arbitrary code with the privileges of the web server.
(CVE-2009-1579)

Multiple cross-site scripting (XSS) flaws were found in SquirrelMail.
An attacker could construct a carefully crafted URL, which once visited by an unsuspecting user, could cause the user's web browser to execute malicious script in the context of the visited SquirrelMail web page. (CVE-2009-1578)

It was discovered that SquirrelMail did not properly sanitize Cascading Style Sheets (CSS) directives used in HTML mail. A remote attacker could send a specially crafted email that could place mail content above SquirrelMail's controls, possibly allowing phishing and cross-site scripting attacks. (CVE-2009-1581)

Users of squirrelmail should upgrade to this updated package, which contains backported patches to correct these issues.

- Fri May 22 2009 Michal Hlavinka <mhlavink at redhat.com>
    - 1.4.19-1

    - updated to 1.4.19

    - fixes CVE-2009-1579, CVE-2009-1580, CVE-2009-1581

    - Tue May 19 2009 Michal Hlavinka <mhlavink at       redhat.com> - 1.4.18-2

    - fix undefined variable aSpamIds (#501260)

    - Tue May 12 2009 Michal Hlavinka <mhlavink at       redhat.com> - 1.4.18-1

    - updated to 1.4.18

    - Wed Mar 18 2009 Michal Hlavinka <mhlavink at       redhat.com> - 1.4.17-4

    - don't use white text (invisible on white paper) for       highlighting in conf.pl (#427217)

  - Tue Mar 17 2009 Michal Hlavinka <mhlavink at redhat.com>
    - 1.4.17-3

    - dont use colors in conf.pl by default (#427217)

    - Thu Dec 4 2008 Michal Hlavinka <mhalvink at       redhat.com> - 1.4.17-2

    - add missing locales

    - Thu Dec 4 2008 Michal Hlavinka <mhlavink at       redhat.com> - 1.4.17-1

    - update to 1.4.17 (fixes CVE-2008-2379)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The previous fix for a vulnerability that allowed an attacker to run arbitrary commands on the server was incomplete (CVE-2009-1381).

ID	名前	製品	ファミリー	公開日	更新日	深刻度
38908	Fedora 9 : squirrelmail-1.4.19-1.fc9 (2009-5471)	Nessus	Fedora Local Security Checks	2009/5/26	2021/1/11	medium
67865	Oracle Linux 3 / 4 / 5 : squirrelmail (ELSA-2009-1066)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
44897	GLSA-201001-08 : SquirrelMail: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2010/2/25	2021/1/6	medium
67865	Oracle Linux 3/4/5：squirrelmail（ELSA-2009-1066）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
67865	Oracle Linux 3 / 4 / 5 : squirrelmail (ELSA-2009-1066)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
44897	GLSA-201001-08：SquirrelMail：複数の脆弱性	Nessus	Gentoo Local Security Checks	2010/2/25	2021/1/6	medium
67865	Oracle Linux 3 / 4 / 5：squirrelmail (ELSA-2009-1066)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
38859	Debian DSA-1802-2 : squirrelmail - several vulnerabilities	Nessus	Debian Local Security Checks	2009/5/20	2021/1/4	medium
38922	RHEL 3 / 4 / 5 : squirrelmail (RHSA-2009:1066)	Nessus	Red Hat Local Security Checks	2009/5/27	2021/1/14	medium
38930	CentOS 3 / 5 : squirrelmail (CESA-2009:1066)	Nessus	CentOS Local Security Checks	2009/5/28	2021/1/4	medium
38905	Fedora 10 : squirrelmail-1.4.19-1.fc10 (2009-5350)	Nessus	Fedora Local Security Checks	2009/5/26	2021/1/11	medium
42034	openSUSE 10 Security Update : squirrelmail (squirrelmail-6457)	Nessus	SuSE Local Security Checks	2009/10/6	2021/1/14	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium