SquirrelMail-Nutzer gefährdet
In der Webmail-Applikation SquirrelMail wurden drei Programmierfehler gefunden, die Cross-Site-Scritping-Angriffe (XSS) und die Ausführung von beliebigen IMAP-Befehlen ermöglichen. Somit könnte ein Angreifer an vertrauliche Daten gelangen und beliebige Manipulationen an allen Postfächern der Anwender vornehmen. Passieren kann dies, wenn SquirrelMail-Anwender beispielsweise auf speziell präparierte Links in empfangenen E-Mails klicken.
Durch eine nicht ausreichende Filterung des Parameters right_main in der Datei webmail.php lässt sich so beispielsweise beliebiger Javascript-Code in die verlinkten SquirrelMail-Seiten einbetten. Da dieser ja im Kontext der Seite ausgeführt würde, ließen sich so vertrauliche Daten aus E-Mails und Cookies auslesen.
Weiterer Fehler: In der Funktion sqimap_mailbox_select in der Datei imap_mailbox.php. Durch eine unzureichende Überprüfung des Parameters $mailbox lassen sich beliebige IMAP-Befehle einschleusen, die dann ungefiltert an den IMAP-Server übermittelt werden. Das Öffnen eines entsprechend manipulierten Links könnte beispielsweise zur Löschung des gesamten Posteingangs führen.
Darüber hinaus begeht SquirrelMail einen Fehler bei der Behandlung von Kommentaren in den sogenannten Styles, mit denen sich das Erscheinungsbild des Web-Frontends steuern lässt. Dies ist jedoch fast unbedenklich...
Betroffen von den Fehlern sind alle SquirrelMail-Versionen bis einschließlich dem aktuellen Stable-Release 1.4.5. Die in Kürze erscheinende Version 1.4.6 soll die Fehler beheben. Bis dahin sollten SquirrelMail-Nutzer besondere Vorsicht bei auffällig langen Links auf den eigenen SquirrelMail-Server walten lassen. Die zum Löschen und Manipulieren von E-Mails in die Links eingebetteten IMAP-Befehle lauten beispielsweise SELECT, STORE, EXPUNGE und DELETE.
Quelle: http://www.heise.de
PS: Bei SqirrelMail schreibt man, dass die Version 1.51 schon seit 19.02.2006 erschienen ist...bitte um Bereichtigung, sofern hier ein Fehler unterlief...
ANNOUNCE: SquirrelMail 1.5.1 Released
Feb 19, 2006 by Marc Groot Koerkamp
The SquirrelMail Team is proud to announce the release of SquirrelMail 1.5.1! This is the second release of the development 1.5.x series. This release contains many updates like improved performance, PHP5 support, interface tweaks and preliminary template support.
Release Name: 1.5.1
Notes:
/*****************************************************************
* Release Notes: SquirrelMail 1.5.1 *
* The "Fire in the Hole" Release *
* 2006-02-19 *
*****************************************************************/
In this edition of SquirrelMail Release Notes:
* All About This Release!
* Major Updates
* Security Updates
* Plugin Updates
* Possible Issues
* Backwards Incompatible Changes
* Data Directory Changes
* Reporting Your Favorite SquirrelMail Bug
Näheres: http://sourceforge.net/project/showno…lease_id=394739