リモートホストは、GLSA-201209-18（Postfixadmin：複数の脆弱性）で説明されている脆弱性の影響を受けます

複数の SQL 注入の脆弱性 （CVE-2012-0811） およびクロスサイトスクリプティングの脆弱性 （CVE-2012-0812）が Postfixadmin で発見されています。
 影響：

リモートの攻撃者がこれらの脆弱性を悪用し、任意のコードの SQL ステートメントもしくは任意のコードの HTML およびスクリプトコードを実行する可能性があります。
 回避策：

現時点で、既知の回避策はありません。

Postfix Admin チームによる報告：

複数の XSS 脆弱性が存在しています：- templates/menu.php および edit-vacation における $_GET[domain] による XSS - 一部の create-domain 入力フィールドにおける XSS - create-alias および edit-alias エラーメッセージにおける XSS - fetchmail リストビュー、list-domain、list-virtual における XSS（データベースに保存されている値により発生）

複数の SQL インジェクションの問題が存在しています： - pacrypt()（$CONF[encrypt] == 'mysql_encrypt' の場合）における SQL インジェクション - backup.php における SQL インジェクション - ダンプは mysql_escape() されていませんでした。このため、ユーザーが、データベースの復元時に実行される SQL を（たとえば、休暇メッセージなどに）注入する可能性があります。警告：2.3.4 またはそれ以前の backup.php で作成されたデータベースのダンプには、悪意のある SQL が含まれている可能性があります。これらを使用する前にもう一度確認してください！

- PostfixAdmin 2.3.5（セキュリティリリース）に更新します

- いくつかの SQL インジェクションを修正します（CVE-2012-0811）

- いくつかの XSS の脆弱性を修正します（CVE-2012-0812）

- 詳細は、CHANGELOG.TXT または bnc#741455 を参照してください。

The remote host is affected by the vulnerability described in GLSA-201209-18 (Postfixadmin: Multiple vulnerabilities)

    Multiple SQL injection vulnerabilities (CVE-2012-0811) and cross-site       scripting vulnerabilities (CVE-2012-0812) have been found in       Postfixadmin.
  Impact :

    A remote attacker could exploit these vulnerabilities to execute       arbitrary SQL statements or arbitrary HTML and script code.
  Workaround :

    There is no known workaround at this time.

- update to PostfixAdmin 2.3.5 (security release)

  - fixes some SQL injections (CVE-2012-0811)

  - fixes some XSS vulnerabilities (CVE-2012-0812)

  - see CHANGELOG.TXT or bnc#741455 for details

The Postfix Admin Team reports :

Multiple XSS vulnerabilities exist : - XSS with $_GET[domain] in templates/menu.php and edit-vacation - XSS in some create-domain input fields - XSS in create-alias and edit-alias error message - XSS (by values stored in the database) in fetchmail list view, list-domain and list-virtual

Multiple SQL injection issues exist : - SQL injection in pacrypt() (if $CONF[encrypt] == 'mysql_encrypt') - SQL injection in backup.php - the dump was not mysql_escape()d, therefore users could inject SQL (for example in the vacation message) which will be executed when restoring the database dump. WARNING: database dumps created with backup.php from 2.3.4 or older might contain malicious SQL. Double-check before using them!

遠端主機受到 GLSA-201209-18 中所述的弱點影響 (Postfixadmin：多個弱點)

    在 Postfixadmin 中發現多個 SQL 插入弱點 (CVE-2012-0811) 與跨網站指令碼弱點 (CVE-2012-0812)。
  影響：

    遠端攻擊者可惡意利用這些弱點來執行任意 SQL 陳述式或任意 HTML 與指令碼。
  因應措施：

    目前尚無已知的因應措施。

远程主机受到 GLSA-201209-18 中所述漏洞的影响（Postfixadmin：多个漏洞）

    已在 Postfixadmin 中发现多种 SQL 注入漏洞 (CVE-2012-0811) 和跨站脚本漏洞 (CVE-2012-0812)。
  影响：

    远程攻击者可利用这些漏洞执行任意 SQL 语句或者任意 HTML 和脚本代码。
  变通方案：

    目前无任何已知的变通方案。

Postfix 管理团队报告：

存在多种 XSS 漏洞：- templates/menu.php 和 edit-vacation 中 $_GET[domain] 的 XSS 漏洞 - 某些 create-domain 输入字段中的 XSS 漏洞 - create-alias 和 edit-alias 错误消息中的 XSS 漏洞 - fetchmail 列表视图、list-domain 和 list-virtual 中的 XSS（通过数据库中存储的值）

存在多种 SQL 注入问题：- pacrypt() 中的 SQL 注入（如果 $CONF[encrypt] == ‘mysql_encrypt’）- backup.php 中的 SQL 注入 - 转储不是 mysql_escape()d，因此用户可注入 SQL（例如在休假讯息中），而还原数据库转储时将执行该 SQL。警告：通过 2.3.4 或更早版本的 backup.php 创建的数据库转储可能包含恶意 SQL。使用前务必仔细检查！

Postfix 系統管理員團隊報告：

存在多個 XSS 弱點：- templates/menu.php 和 edit-vacation 中 $_GET[domain] 的 XSS 弱點 - 部分 create-domain 輸入欄位中的 XSS 弱點 - create-alias 和 edit-alias 錯誤訊息中的 XSS 弱點 - fetchmail 清單檢視 list-domain 和 list-virtual 中的 XSS 弱點 (資料庫中儲存的值所引發)

存在多個 SQL 插入問題：- pacrypt() 中的 SQL 插入問題 (若 $CONF[encrypt] == 'mysql_encrypt') - backup.php 中的 SQL 插入問題 - 轉儲存不是 mysql_escape()d，因此使用者可插入 SQL (例如在 vacation 訊息中)，而該 SQL 會在還原資料庫轉儲存時執行。警告：從 2.3.4 或更舊版 backup.php 建立的資料庫轉儲存可能包含惡意 SQL。使用前請先重複檢查！

- PostfixAdmin 2.3.5 版的更新 (安全性版本)

- 修正部分 SQL 插入 (CVE-2012-0811)

- 修正部分 XSS 弱點 (CVE-2012-0812)

- 如需詳細資訊，請參閱 CHANGELOG.TXT 或 bnc#741455

- 更新到 PostfixAdmin 2.3.5（安全版本）

- 修复了一些 SQL 注入 (CVE-2012-0811)

- 修复了一些 XSS 漏洞 (CVE-2012-0812)

- 请参阅 CHANGELOG.TXT 或 bnc#741455 了解详细信息

ID	名稱	產品	系列	已發布	已更新	嚴重性
62360	GLSA-201209-18：Postfixadmi：複数の脆弱性	Nessus	Gentoo Local Security Checks	2012/9/28	2021/1/6	high
57720	FreeBSD：postfixadmin -- 複数の脆弱性（93688f8f-4935-11e1-89b4-001ec9578670）	Nessus	FreeBSD Local Security Checks	2012/1/30	2021/1/6	medium
74851	openSUSE セキュリティ更新：postfixadmin（openSUSE-2012-86）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
62360	GLSA-201209-18 : Postfixadmin: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2012/9/28	2021/1/6	high
74851	openSUSE Security Update : postfixadmin (openSUSE-2012-86)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
57720	FreeBSD : postfixadmin -- Multiple Vulnerabilities (93688f8f-4935-11e1-89b4-001ec9578670)	Nessus	FreeBSD Local Security Checks	2012/1/30	2021/1/6	medium
62360	GLSA-201209-18 : Postfixadmin：多個弱點	Nessus	Gentoo Local Security Checks	2012/9/28	2021/1/6	high
62360	GLSA-201209-18 : Postfixadmin：多个漏洞	Nessus	Gentoo Local Security Checks	2012/9/28	2021/1/6	high
57720	FreeBSD：postfixadmin -- 多种漏洞 (93688f8f-4935-11e1-89b4-001ec9578670)	Nessus	FreeBSD Local Security Checks	2012/1/30	2021/1/6	medium
57720	FreeBSD：postfixadmin -- 多個弱點 (93688f8f-4935-11e1-89b4-001ec9578670)	Nessus	FreeBSD Local Security Checks	2012/1/30	2021/1/6	medium
74851	openSUSE 安全性更新：postfixadmin (openSUSE-2012-86)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
74851	openSUSE 安全更新：postfixadmin (openSUSE-2012-86)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium

偵測

搜尋 Plugin

high

medium

medium

high

medium

medium

high

high

medium

medium

medium

medium