Scientific Linux 安全性更新：SL3.x、SL4.x、SL5.x i386/x86_64 上的 squirrelmail

medium Nessus Plugin ID 60519

語系：

概要

遠端 Scientific Linux 主機缺少一個安全性更新。

說明

Ivan Markovic 在不充分 HTML 郵件清理所導致的 SquirrelMail 中發現一個跨網站指令碼 (XSS) 瑕疵。遠端攻擊者可傳送特製的 HTML 郵件或附件，當使用者開啟電子郵件或附件時，可導致使用者的網頁瀏覽器在 SquirrelMail 工作階段的內容中執行惡意指令碼。(CVE-2008-2379)

據發現，SquirrelMail 允許通過不安全連線的 cookie (即不限制 cookie 進入 HTTPS 連線)。如果使用者對伺服器提出 HTTP 要求，控制使用者與 SquirrelMail 伺服器之間通訊通道的攻擊者，或能夠探查使用者網路通訊的攻擊者，可利用此瑕疵取得使用者的工作階段 cookie。(CVE-2008-3663)

注意：套用此更新後，針對透過 HTTPS 連線啟動之 SquirrelMail 工作階段設定的所有工作階段 cookie 都將設定上「安全」旗標。也就是說，瀏覽器將只透過 HTTPS 連線傳送此類 cookie。如有需要，您可以在 SquirrelMail 的 /etc/squirrelmail/config.php 組態檔案中將組態選項「$only_secure_cookies」設定為「假」來還原為之前的行為。