來自 Red Hat 安全性公告 2009:0010：

現已提供適用於 Red Hat Enterprise Linux 3、4 和 5 的更新版 squirrelmail 套件，可解決多種安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。

SquirrelMail 是以 PHP 撰寫且易於設定的標準式 Webmail 套件。其中包含適用於 IMAP、SMTP 通訊協定，以及純 HTML 4.0 頁面轉譯 (不需要 JavaScript) 的內建 PHP 支援，以確保達到最大限度的瀏覽器相容性；此外還提供強式 MIME 支援、通訊錄和資料夾操控功能。

Ivan Markovic 在不充分 HTML 郵件清理所導致的 SquirrelMail 中發現一個跨網站指令碼 (XSS) 瑕疵。遠端攻擊者可傳送特製的 HTML 郵件或附件，當使用者開啟電子郵件或附件時，可導致使用者的網頁瀏覽器在 SquirrelMail 工作階段的內容中執行惡意指令碼。(CVE-2008-2379)

據發現，SquirrelMail 允許通過不安全連線的 cookie (即不限制 cookie 進入 HTTPS 連線)。如果使用者對伺服器提出 HTTP 要求，控制使用者與 SquirrelMail 伺服器之間通訊通道的攻擊者，或能夠探查使用者網路通訊的攻擊者，可利用此瑕疵取得使用者的工作階段 cookie。(CVE-2008-3663)

注意：套用此更新後，針對透過 HTTPS 連線啟動之 SquirrelMail 工作階段設定的所有工作階段 cookie 都將設定上「安全」旗標。也就是說，瀏覽器將只透過 HTTPS 連線傳送此類 cookie。如有需要，您可以在 SquirrelMail 的 /etc/squirrelmail/config.php 組態檔案中將組態選項「$only_secure_cookies」設定為「假」來還原為之前的行為。

SquirrelMail 的使用者應升級至此更新版套件，其中包含可更正這些問題的反向移植修補程式。

偵測

Oracle Linux 3 / 4 / 5 : squirrelmail (ELSA-2009-0010)

medium Nessus Plugin ID 67786

找不到變更記錄