いくつかのセキュリティ問題を修正する更新済みの squirrelmail パッケージが、 Red Hat Enterprise Linux 4 と 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

SquirrelMail は PHP で書かれた標準ベースの Webmail パッケージです。

SquirrelMail が HTML スタイルのタグコンテンツをサニタイズを行う方法で、クロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用して特別に細工された多目的インターネットメール拡張（MIME）メッセージを送信することにより、被害者がそのメールを開いた場合に、SquirrelMail セッションのコンテキストで任意の Web スクリプトを実行する可能性があります。（CVE-2011-2023）

SquirrelMail に複数のクロスサイトスクリプティング（XSS）の欠陥が見つかりました。
リモートの攻撃者がこの欠陥を利用することにより、被害者の SquirrelMail セッションのコンテキストで任意の Web スクリプトを実行する可能性があります。
（CVE-2010-4555）

SquirrelMail がさまざまな HTML 入力フィールドのコンテンツを処理する方法で、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用することにより、これらのフィールドの入力に含まれている改行文字でユーザーの設定値を変更する可能性があります。（CVE-2011-2752）

SquirrelMail の Empty Trash および Index Order のページがクロスサイトリクエスト偽造（CSRF）攻撃に対する保護を提供していないことが見つかりました。リモートの攻撃者が、SquirrelMail にログイン中のユーザーを騙して、特別に細工された URL にアクセスさせる可能性があります。攻撃者が、被害者のごみ箱フォルダーを空にしたり、メッセージインデックスページの列の順序を変更したりする可能性があります。（CVE-2011-2753）

SquirrelMail を HTML サブフレームにロードできるため、リモートの攻撃者がログインしているユーザーに対してクリックジャッキング攻撃を実行し、機密ユーザーデータにアクセスする可能性があります。この更新により、SquirrelMail のメインフレームはブラウザフレームの最上位にのみロードできるようになります。（CVE-2010-4554）

SquirrelMail が失敗したログイン試行を処理する方法に、欠陥が見つかりました。8 ビット文字を含んでいるパスワードでログインしようとすると、ユーザー名が有効でなくても、ユーザー設定ファイルが作成されていました。リモートの攻撃者が、この欠陥を利用し、最終的にターゲットの SquirrelMail サーバーのハードディスクの全スペースを消費する可能性があります。
（CVE-2010-2813）

SquirrelMail Mail Fetch プラグインで欠陥が見つかりました。管理者がこのプラグインを有効にすると、SquirrelMail ユーザーが、この欠陥を利用することにより、サーバーのあるローカルネットワークのポートスキャンを行う可能性があります。（CVE-2010-1637）

SquirrelMail のユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージにアップグレードし、これらの問題を修正する必要があります。

- 2010 年 6 月 22 日（火曜日）Michal Hlavinka <mhlavink at redhat.com> - 1.4.20-3

- CVE-2010-1637 を修正します：非標準の POP3 サーバーポート経由のメールフェッチプラグインのポートスキャン

- 2010 年 6 月 7 日（月曜日）Michal Hlavinka <mhlavink at redhat.com> - 1.4.20-2

- デフォルトで https 接続が強制されている構成ファイルにメモを追加します

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Red Hat セキュリティアドバイザリ 2012:0103 から：

いくつかのセキュリティ問題を修正する更新済みの squirrelmail パッケージが、 Red Hat Enterprise Linux 4 と 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

SquirrelMail は PHP で書かれた標準ベースの Webmail パッケージです。

SquirrelMail が HTML スタイルのタグコンテンツをサニタイズを行う方法で、クロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用して特別に細工された多目的インターネットメール拡張（MIME）メッセージを送信することにより、被害者がそのメールを開いた場合に、SquirrelMail セッションのコンテキストで任意の Web スクリプトを実行する可能性があります。(CVE-2011-2023)

SquirrelMail に複数のクロスサイトスクリプティング（XSS）の欠陥が見つかりました。
リモートの攻撃者がこの欠陥を利用することにより、被害者の SquirrelMail セッションのコンテキストで任意の Web スクリプトを実行する可能性があります。
(CVE-2010-4555)

SquirrelMail がさまざまな HTML 入力フィールドのコンテンツを処理する方法で、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用することにより、これらのフィールドの入力に含まれている改行文字でユーザーの設定値を変更する可能性があります。(CVE-2011-2752)

SquirrelMail の Empty Trash および Index Order のページがクロスサイトリクエスト偽造（CSRF）攻撃に対する保護を提供していないことが見つかりました。リモートの攻撃者が、SquirrelMail にログイン中のユーザーを騙して、特別に細工された URL にアクセスさせる可能性があります。攻撃者が、被害者のごみ箱フォルダーを空にしたり、メッセージインデックスページの列の順序を変更したりする可能性があります。(CVE-2011-2753)

SquirrelMail を HTML サブフレームにロードできるため、リモートの攻撃者がログインしているユーザーに対してクリックジャッキング攻撃を実行し、機密ユーザーデータにアクセスする可能性があります。この更新により、SquirrelMail のメインフレームはブラウザフレームの最上位にのみロードできるようになります。(CVE-2010-4554)

SquirrelMail が失敗したログイン試行を処理する方法に、欠陥が見つかりました。8 ビット文字を含んでいるパスワードでログインしようとすると、ユーザー名が有効でなくても、ユーザー設定ファイルが作成されていました。リモートの攻撃者が、この欠陥を利用し、最終的にターゲットの SquirrelMail サーバーのハードディスクの全スペースを消費する可能性があります。
(CVE-2010-2813)

SquirrelMail Mail Fetch プラグインで欠陥が見つかりました。管理者がこのプラグインを有効にすると、SquirrelMail ユーザーが、この欠陥を利用することにより、サーバーのあるローカルネットワークのポートスキャンを行う可能性があります。(CVE-2010-1637)

SquirrelMail のユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージにアップグレードし、これらの問題を修正する必要があります。

- 2010 年 6 月 22 日（火曜日）Michal Hlavinka <mhlavink at redhat.com> - 1.4.20-3

- CVE-2010-1637 を修正します：非標準の POP3 サーバーポート経由のメールフェッチプラグインのポートスキャン

- 2010 年 6 月 7 日（月曜日）Michal Hlavinka <mhlavink at redhat.com> - 1.4.20-2

- デフォルトで https 接続が強制されている構成ファイルにメモを追加します

- 2010 年 3月 8 日（月曜日）Michal Hlavinka 氏 <mhlavink at redhat.com> - 1.4.20-1

- 1.4.20 に更新済み

- 変換を更新しました

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

SquirrelMail は PHP で書かれた標準ベースの Webmail パッケージです。

SquirrelMail が HTML スタイルのタグコンテンツをサニタイズを行う方法で、クロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用して特別に細工された多目的インターネットメール拡張（MIME）メッセージを送信することにより、被害者がそのメールを開いた場合に、SquirrelMail セッションのコンテキストで任意の Web スクリプトを実行する可能性があります。（CVE-2011-2023）

SquirrelMail に複数のクロスサイトスクリプティング（XSS）の欠陥が見つかりました。
リモートの攻撃者がこの欠陥を利用することにより、被害者の SquirrelMail セッションのコンテキストで任意の Web スクリプトを実行する可能性があります。
（CVE-2010-4555）

SquirrelMail がさまざまな HTML 入力フィールドのコンテンツを処理する方法で、入力サニタイズの欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用することにより、これらのフィールドの入力に含まれている改行文字でユーザーの設定値を変更する可能性があります。（CVE-2011-2752）

SquirrelMail の Empty Trash および Index Order のページがクロスサイトリクエスト偽造（CSRF）攻撃に対する保護を提供していないことが見つかりました。リモートの攻撃者が、SquirrelMail にログイン中のユーザーを騙して、特別に細工された URL にアクセスさせる可能性があります。攻撃者が、被害者のごみ箱フォルダーを空にしたり、メッセージインデックスページの列の順序を変更したりする可能性があります。（CVE-2011-2753）

SquirrelMail を HTML サブフレームにロードできるため、リモートの攻撃者がログインしているユーザーに対してクリックジャッキング攻撃を実行し、機密ユーザーデータにアクセスする可能性があります。この更新により、SquirrelMail のメインフレームはブラウザフレームの最上位にのみロードできるようになります。（CVE-2010-4554）

SquirrelMail が失敗したログイン試行を処理する方法に、欠陥が見つかりました。8 ビット文字を含んでいるパスワードでログインしようとすると、ユーザー名が有効でなくても、ユーザー設定ファイルが作成されていました。リモートの攻撃者が、この欠陥を利用し、最終的にターゲットの SquirrelMail サーバーのハードディスクの全スペースを消費する可能性があります。
（CVE-2010-2813）

SquirrelMail Mail Fetch プラグインで欠陥が見つかりました。管理者がこのプラグインを有効にすると、SquirrelMail ユーザーが、この欠陥を利用することにより、サーバーのあるローカルネットワークのポートスキャンを行う可能性があります。（CVE-2010-1637）

SquirrelMail のユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージにアップグレードし、これらの問題を修正する必要があります。

- 2010 年 6 月 22 日（火曜日）Michal Hlavinka <mhlavink at redhat.com> - 1.4.20-2

- CVE-2010-1637 を修正します：非標準の POP3 サーバーポート経由のメールフェッチプラグインのポートスキャン

- 2010 年 3月 8 日（月曜日）Michal Hlavinka 氏 <mhlavink at redhat.com>
 - 1.4.20-1

- 1.4.20 に更新済み

- 変換を更新しました

- 2009 年 9 月 17 日（木曜日）Michal Hlavinka <mhlavink at redhat.com> - 1.4.20-0.rc2.20100104

- 1.4.20RC2 20100104 スナップショットに更新しました

- マルチワード検索の修正（#551626）

- 2009 年 9 月 17 日（木曜日）Michal Hlavinka <mhlavink at redhat.com> - 1.4.20-0.rc2.20090917

- 1.4.20RC2 20090917 スナップショットに更新しました

- メール内検索の修正（#523016）

- 2009 年 8 月 19 日（水曜日）Michal Hlavinka 氏 <mhlavink at redhat.com> - 1.4.20RC2-1

- 1.4.20RC2 に更新しました

- 2009 年 8 月 13 日（木曜日）Michal Hlavinka <mhlavink at redhat.com> - 1.4.20RC1-1

- 1.4.20RC1 に更新しました

- #517312 の修正 - あらゆるフォームでの CSRF 問題（SA34627）

- 2009 年 7 月 26 日（日曜日）Fedora リリースエンジニアリング <rel-eng at lists.fedoraproject.org> - 1.4.19-4

- https://fedoraproject.org/wiki/Fedora_12_Mass_Rebuild の再構築

- 2009 年 7 月 1 日（水曜日）Michal Hlavinka 氏 <mhlavink at redhat.com> - 1.4.19-3

- ssl 接続のみを使用するよう、デフォルト構成を変更

- 2009 年 6 月 30 日（火曜日）Michal Hlavinka 氏 <mhlavink at redhat.com> - 1.4.19-2

- squirrelspell プラグインにて ispell ではなく hunspell を使用（#508631）

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモートホストは、セキュリティ更新 2012-001 を適用していないバージョンの Mac OS X 10.6 を実行しています。この更新には、次のコンポーネントに対する複数のセキュリティ関連の修正が含まれています。

- Apache
 - ATS
 - ColorSync
 - CoreAudio
 - CoreMedia
 - CoreText
 - curl
 - Data Security
 - dovecot
 - filecmds
 - libresolv
 - libsecurity
 - OpenGL
 - PHP
 - QuickTime
 - SquirrelMail
 - Subversion
 - Tomcat
 - X11

ID	名前	製品	ファミリー	公開日	更新日	深刻度
57870	RHEL 4 / 5：squirrelmail（RHSA-2012:0103）	Nessus	Red Hat Local Security Checks	2012/2/9	2021/1/14	medium
47217	Fedora 13：squirrelmail-1.4.20-3.fc13（2010-10259）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium
57864	CentOS 4/5：squirrelmail（CESA-2012:0103）	Nessus	CentOS Local Security Checks	2012/2/9	2021/1/4	medium
68452	Oracle Linux 4/5：squirrelmail（ELSA-2012-0103）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
47216	Fedora 12：squirrelmail-1.4.20-3.fc12（2010-10244）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium
61240	Scientific Linux セキュリティ更新：SL4.x、SL5.x の squirrelmail	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
47218	Fedora 11：squirrelmail-1.4.20-2.fc11（2010-10264）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium
57798	Mac OS X 複数の脆弱性（セキュリティ更新 2012-001）（BEAST）	Nessus	MacOS X Local Security Checks	2012/2/2	2022/12/5	critical

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

critical