Oracle Linux 3 / 4 / 5 : squirrelmail (ELSA-2009-0010)
medium Nessus Plugin ID 67786
語言:
概要
遠端 Oracle Linux 主機缺少一個安全性更新。說明
來自 Red Hat 安全性公告 2009:0010：現已提供適用於 Red Hat Enterprise Linux 3、4 和 5 的更新版 squirrelmail 套件，可解決多種安全性問題。
Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。
SquirrelMail 是以 PHP 撰寫且易於設定的標準式 Webmail 套件。其中包含適用於 IMAP、SMTP 通訊協定，以及純 HTML 4.0 頁面轉譯 (不需要 JavaScript) 的內建 PHP 支援，以確保達到最大限度的瀏覽器相容性；此外還提供強式 MIME 支援、通訊錄和資料夾操控功能。
Ivan Markovic 在不充分 HTML 郵件清理所導致的 SquirrelMail 中發現一個跨網站指令碼 (XSS) 瑕疵。遠端攻擊者可傳送特製的 HTML 郵件或附件，當使用者開啟電子郵件或附件時，可導致使用者的網頁瀏覽器在 SquirrelMail 工作階段的內容中執行惡意指令碼。(CVE-2008-2379)
據發現，SquirrelMail 允許通過不安全連線的 cookie (即不限制 cookie 進入 HTTPS 連線)。如果使用者對伺服器提出 HTTP 要求，控制使用者與 SquirrelMail 伺服器之間通訊通道的攻擊者，或能夠探查使用者網路通訊的攻擊者，可利用此瑕疵取得使用者的工作階段 cookie。(CVE-2008-3663)
注意：套用此更新後，針對透過 HTTPS 連線啟動之 SquirrelMail 工作階段設定的所有工作階段 cookie 都將設定上「安全」旗標。也就是說，瀏覽器將只透過 HTTPS 連線傳送此類 cookie。如有需要，您可以在 SquirrelMail 的 /etc/squirrelmail/config.php 組態檔案中將組態選項「$only_secure_cookies」設定為「假」來還原為之前的行為。
SquirrelMail 的使用者應升級至此更新版套件，其中包含可更正這些問題的反向移植修補程式。
解決方案
更新受影響的 squirrelmail 套件。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 67786
檔案名稱: oraclelinux_ELSA-2009-0010.nasl
版本: 1.14
類型: local
代理程式: unix
已發布: 2013/7/12
已更新: 2024/11/1
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Nessus
風險資訊
VPR
風險因素: Low
分數: 3.4
CVSS v2
風險因素: Medium
基本分數: 5
時間性分數: 3.7
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS 評分資料來源: CVE-2008-3663
CVSS v3
風險因素: Medium
基本分數: 6.1
時間性分數: 5.3
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
CVSS 評分資料來源: CVE-2008-2379
弱點資訊
CPE: cpe:/o:oracle:linux:5, p-cpe:/a:oracle:linux:squirrelmail
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2009/1/12
弱點發布日期: 2008/9/24
參考資訊
CVE: CVE-2008-2379, CVE-2008-3663
BID: 31321
RHSA: 2009:0010