The SquirrelMail security update SLSA-2012:0103 did not, unlike the erratum text stated, correct the CVE-2010-2813 issue, a flaw in the way SquirrelMail handled failed log in attempts. A user preference file was created when attempting to log in with a password containing an 8-bit character, even if the username was not valid. A remote attacker could use this flaw to eventually consume all hard disk space on the target SquirrelMail server. (CVE-2012-2124)

This update also fixes the following bugs :

  - Prior to this update, SquirrelMail could not decode     multi-line subjects properly. Consequently, the decode     header internationalization option did not properly     handle new lines or tabs at the beginning of the lines.
    This bug has been fixed and SquirrelMail now works     correctly in the described scenario.

  - Due to a bug, attachments written in HTML code on the     Windows operating system were not displayed properly     when accessed with SquirrelMail; the '!=null' string was     trimmed to '!ull'. This bug has been fixed and the     attachments are now displayed correctly in such a case.

  - Previously, e-mail messages with a Unique Identifier     (UID) larger than 2^31 bytes were unreadable when using     the squirrelmail package. With this patch the     squirrelmail package is able to read all messages     regardless of the UIDs size.

  - Due to a bug, a PHP script did not assign the proper     character set to requested variables. Consequently,     SquirrelMail could not display any e-mails. The     underlying source code has been modified and now the     squirrelmail package assigns the correct character set.

  - Due to the incorrect internationalization option located     at the i18n.php file, the squirrelmail package could not     use the GB 2312 character set. The i18n.php file has     been fixed and the GB 2312 character set works correctly     in the described scenario.

  - Previously, the preg_split() function contained a     misspelled constant, PREG_SPLIT_NI_EMPTY, which could     cause SquirrelMail to produce error messages. The name     of the constant has been corrected to     PREG_SPLIT_NO_EMPTY, and SquirrelMail no longer produces     error messages in this scenario.

  - Due to Security-Enhanced Linux (SELinux) settings,     sending e-mails from the SquirrelMail web interface was     blocked. This update adds a note to the SquirrelMail     documentation that describes how to set the SELinux     options to allow sending e-mails from the SquirrelMail     web interface.

  - Previously, the squirrelmail package did not comply with     the RFC 2822 specification about line length limits.
    Consequently, attachments with lines longer than 998     characters could not be forwarded using SquirrelMail.
    This patch modifies the underlying source code and now     SquirrelMail complies with the RFC 2822 specification as     expected.

  - Prior to this update, the squirrelmail package required     the php-common script instead of the mod_php script     during installation or upgrade of the package, which led     to a dependency error. As a result, attempting to     install or upgrade the squirrelmail package failed on     systems using the php53 packages. With this update, the     dependencies of the squirrelmail package were changed     and the installation or upgrade now works correctly in     the described scenario.

An updated squirrelmail package that fixes one security issue and several bugs is now available for Red Hat Enterprise Linux 5.

The Red Hat Security Response Team has rated this update as having low security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section.

SquirrelMail is a standards-based webmail package written in PHP.

The SquirrelMail security update RHSA-2012:0103 did not, unlike the erratum text stated, correct the CVE-2010-2813 issue, a flaw in the way SquirrelMail handled failed log in attempts. A user preference file was created when attempting to log in with a password containing an 8-bit character, even if the username was not valid. A remote attacker could use this flaw to eventually consume all hard disk space on the target SquirrelMail server. (CVE-2012-2124)

This update also fixes the following bugs :

* Prior to this update, SquirrelMail could not decode multi-line subjects properly. Consequently, the decode header internationalization option did not properly handle new lines or tabs at the beginning of the lines. This bug has been fixed and SquirrelMail now works correctly in the described scenario.
(BZ#241861)

* Due to a bug, attachments written in HTML code on the Windows operating system were not displayed properly when accessed with SquirrelMail; the '!=null' string was trimmed to '!ull'. This bug has been fixed and the attachments are now displayed correctly in such a case. (BZ#359791)

* Previously, e-mail messages with a Unique Identifier (UID) larger than 2^31 bytes were unreadable when using the squirrelmail package.
With this patch the squirrelmail package is able to read all messages regardless of the UIDs size. (BZ#450780)

* Due to a bug, a PHP script did not assign the proper character set to requested variables. Consequently, SquirrelMail could not display any e-mails. The underlying source code has been modified and now the squirrelmail package assigns the correct character set. (BZ#475188)

* Due to the incorrect internationalization option located at the i18n.php file, the squirrelmail package could not use the GB 2312 character set. The i18n.php file has been fixed and the GB 2312 character set works correctly in the described scenario. (BZ#508686)

* Previously, the preg_split() function contained a misspelled constant, PREG_SPLIT_NI_EMPTY, which could cause SquirrelMail to produce error messages. The name of the constant has been corrected to PREG_SPLIT_NO_EMPTY, and SquirrelMail no longer produces error messages in this scenario. (BZ#528758)

* Due to Security-Enhanced Linux (SELinux) settings, sending e-mails from the SquirrelMail web interface was blocked. This update adds a note to the SquirrelMail documentation that describes how to set the SELinux options to allow sending e-mails from the SquirrelMail web interface. (BZ#745380)

* Previously, the squirrelmail package did not comply with the RFC 2822 specification about line length limits. Consequently, attachments with lines longer than 998 characters could not be forwarded using SquirrelMail. This patch modifies the underlying source code and now SquirrelMail complies with the RFC 2822 specification as expected.
(BZ#745469)

* Prior to this update, the squirrelmail package required the php-common script instead of the mod_php script during installation or upgrade of the package, which led to a dependency error. As a result, attempting to install or upgrade the squirrelmail package failed on systems using the php53 packages. With this update, the dependencies of the squirrelmail package were changed and the installation or upgrade now works correctly in the described scenario. (BZ#789353)

All users of SquirrelMail are advised to upgrade to this updated package, which contains backported patches to correct these issues.

1 つのセキュリティの問題といくつかのバグを修正する更新済みの squirrelmail パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

SquirrelMail は PHP で書かれた標準ベースの Webmail パッケージです。

SquirrelMail セキュリティ更新 RHSA-2012:0103 が、記述されているエラータテキストとは異なり、CVE-2010-2813 の問題、つまり SquirrelMail が失敗したログを処理しようとする方法にある欠陥を、修正していませんでした。8 ビット文字を含んでいるパスワードでログインしようとすると、ユーザー名が有効でなくても、ユーザー設定ファイルが作成されていました。リモートの攻撃者が、この欠陥を利用し、最終的にターゲットの SquirrelMail サーバーのハードディスクの全スペースを消費する可能性があります。(CVE-2012-2124)

この更新は以下のバグも修正します：

* この更新が出る前は、SquirrelMail は複数行の件名を適切に解読できませんでした。その結果、デコードヘッダーの国際化オプションが、行の先頭にある新しい行やタブを適切に処理していませんでした。このバグは修正されていて、現在は SquirrelMail は上述のシナリオで適切に動作します。
（BZ#241861）

* バグのため、Windows オペレーティングシステムで HTML コードで書かれた添付ファイルが、SquirrelMail でアクセスされたときには適切に表示されませんでした。「!= null」文字列が「!ull」にトリミングされていました。このバグが修正され、現在は、このような場合でも添付ファイルは適切に表示されます。（BZ#359791）

* 以前は、一意識別子（UID）が 2^31 バイトより大きいメールメッセージは、squirrelmail パッケージを使用していると読み込めませんでした。
このパッチにより、squirrelmail パッケージは、 UID のサイズに関わらず、すべてのメッセージを読み込めるようになりました。（BZ#450780）

* バグがあるため、PHP スクリプトが、リクエストされた変数に適切な文字セットを割り当てていませんでした。この結果、SquirrelMail はメールをまったく表示できませんでした。下層にあるソースコードが修正され、現在は squirrelmail パッケージは正しい文字セットを割り当てるようになっています。（BZ#475188）

* i18n.php ファイルにある国際化オプションが適切でないため、 squirrelmail パッケージが、 GB 2312 文字セットを使用できませんでした。i18n.php ファイルが修正され、上述のシナリオでも GB 2312 文字セットが正しく機能するようになっています。（BZ#508686）

* 以前は、preg_split() 関数に「PREG_SPLIT_NI_EMPTY」というスペル間違った定数があり、これにより SquirrelMail がエラーメッセージを生成していました。定数の名前が「PREG_SPLIT_NO_EMPTY」と訂正され、このシナリオで SquirrelMail はエラーメッセージを生成しなくなりました。（BZ#528758）

* Security-Enhanced Linux（SELinux）の設定のため、 SquirrelMail の Web インターフェイスからのメール送信がブロックされていました。この更新により、 SquirrelMail の Web インターフェイスからのメール送信を可能にする SELinux オプションの設定方法についての説明が SquirrelMail のドキュメントに追加されました。（BZ#745380）

* 以前は、squirrelmail パッケージが、行の長さの制限に関する RFC 2822 仕様に適合していませんでした。この結果、行が 998 文字より長い添付ファイルを SquirrelMail を使用して転送することができませんでした。このパッチにより下層にあるソースコードが変更され、現在は SquirrelMail は予期していた通りに RFC 2822 仕様に適合するようになっています。
（BZ#745469）

* この更新以前では、squirrelmail パッケージが、パッケージのインストールやアップグレードの際に、mod_php スクリプトではなく、php-common スクリプトを要求し、これが依存関係エラーを発生させていました。結果として、php53 パッケージを使用しているシステムで、 squirrelmail パッケージをインストールやアップグレードしようとすると失敗しました。この更新により、squirrelmail パッケージの依存関係が変更され、上述のシナリオでのインストールやアップグレードは現在は正しく動作するようになっています。（BZ#789353）

SquirrelMail の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

SquirrelMail セキュリティ更新 SLSA-2012:0103 が、記述されているエラータテキストとは異なり、CVE-2010-2813 の問題、つまり SquirrelMail が失敗したログを処理しようとする方法にある欠陥を、修正していませんでした。8 ビット文字を含んでいるパスワードでログインしようとすると、ユーザー名が有効でなくても、ユーザー設定ファイルが作成されていました。リモートの攻撃者が、この欠陥を利用し、最終的にターゲットの SquirrelMail サーバーのハードディスクの全スペースを消費する可能性があります。(CVE-2012-2124)

この更新は以下のバグも修正します：

- この更新が出る前は、SquirrelMail は複数行の件名を適切に解読できませんでした。その結果、デコードヘッダーの国際化オプションが、行の先頭にある新しい行やタブを適切に処理していませんでした。
 このバグは修正されていて、現在は SquirrelMail は上述のシナリオで適切に動作します。

- バグのため、Windows オペレーティングシステムで HTML コードで書かれた添付ファイルが、SquirrelMail でアクセスされたときには適切に表示されませんでした。「!=null」文字列が「!ull」にトリミングされていました。このバグが修正され、現在は、このような場合でも添付ファイルは適切に表示されます。

- 以前は、一意識別子（UID）が 2^31 バイトより大きいメールメッセージは、squirrelmail パッケージを使用していると読み込めませんでした。このパッチにより、squirrelmail パッケージは、 UID のサイズに関わらず、すべてのメッセージを読み込めるようになりました。

- バグがあるため、PHP スクリプトが、リクエストされた変数に適切な文字セットを割り当てていませんでした。この結果、SquirrelMail はメールをまったく表示できませんでした。下層にあるソースコードが修正され、現在は squirrelmail パッケージは正しい文字セットを割り当てるようになっています。

- i18n.php ファイルにある国際化オプションが適切でないため、squirrelmail パッケージが、GB 2312 文字セットを使用できませんでした。i18n.php ファイルが修正され、上述のシナリオでも GB 2312 文字セットが正しく機能するようになっています。

- 以前は、preg_split() 関数に「PREG_SPLIT_NI_EMPTY」というスペル間違った定数があり、これにより SquirrelMail がエラーメッセージを生成していました。定数の名前が「PREG_SPLIT_NO_EMPTY」と訂正され、このシナリオで SquirrelMail はエラーメッセージを生成しなくなりました。

- Security-Enhanced Linux（SELinux）の設定のため、SquirrelMail の Web インターフェイスからのメール送信がブロックされていました。この更新により、 SquirrelMail の Web インターフェイスからのメール送信を可能にする SELinux オプションの設定方法についての説明が SquirrelMail のドキュメントに追加されました。

- 以前は、squirrelmail パッケージが、行の長さの制限に関する RFC 2822 仕様に適合していませんでした。
 この結果、行が 998 文字より長い添付ファイルを SquirrelMail を使用して転送することができませんでした。
 このパッチにより下層にあるソースコードが変更され、現在は SquirrelMail は予期していた通りに RFC 2822 仕様に適合するようになっています。

- この更新以前では、squirrelmail パッケージが、パッケージのインストールやアップグレードの際に、mod_php スクリプトではなく、php-common スクリプトを要求し、これが依存関係エラーを発生させていました。結果として、php53 パッケージを使用しているシステムで、 squirrelmail パッケージをインストールやアップグレードしようとすると失敗しました。この更新により、squirrelmail パッケージの依存関係が変更され、上述のシナリオでのインストールやアップグレードは現在は正しく動作するようになっています。

更新后的 squirrelmail 程序包修复了一个安全问题和多个缺陷，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

SquirrelMail 是以 PHP 编写的标准 webmail 程序包。

SquirrelMail 安全更新 RHSA-2012:0103 未能如勘误表文本所声明纠正 CVE-2010-2813 问题，SquirrelMail 处理失败登录尝试的方式存在缺陷。尝试通过包含 8 位字符的密码登录时，即使用户名无效，也会创建用户首选项文件。远程攻击者可利用该缺陷最终消耗目标 SquirrelMail 服务器上的所有硬盘空间。(CVE-2012-2124)

此更新还修复以下缺陷：

*在此更新之前，SquirrelMail 不能正确地解码多行主题。结果，解码标头国际化选项未能正确地处理新行或行开头的制表符。此缺陷已修复，SquirrelMail 现在能够正确地在所述情况中运行。
(BZ#241861)

* 由于存在漏洞，当通过 SquirrelMail 访问时，Windows 操作系统中以 HTML 代码编写的附件不能正确显示；“!= null”字符串被裁剪为“!ull”。此缺陷已修复，附件现在能够在这种情况下正确显示。(BZ#359791)

* 以前，使用 squirrelmail 程序包时，唯一标识符 (UID) 大于 2^31 字节的电子邮件消息无法读取。
通过该修补程序，squirrelmail 程序包能够读取任何 UID 大小的所有消息。(BZ#450780)

* 由于存在漏洞，PHP 脚本不能将正确的字符集分配到请求变量。结果，SquirrelMail 不能显示任何电子邮件。已修改底层源代码，现在 squirrelmail 程序包可分配正确的字符集。(BZ#475188)

* 由于位于 i18n.php 文件中的国际化选项不正确，squirrelmail 程序包不能使用 GB 2312 字符集。已修复 i18n.php 文件，GB 2312 字符集可在所述情况下正确运行。(BZ#508686)

* 以前，preg_split() 函数包含拼写错误的常量 PREG_SPLIT_NI_EMPTY，可导致 SquirrelMail 生成错误消息。常量的名称已修正为 PREG_SPLIT_NO_EMPTY，SquirrelMail 不再在这种情况下生成错误消息。(BZ#528758)

* 由于安全增强型 Linux (SELinux) 设置，从 SquirrelMail Web 接口发送电子邮件将被阻止。此更新向 SquirrelMail 文档添加了一个注释，描述了如何设置 SELinux 选项才能允许从 SquirrelMail Web 接口发送电子邮件。(BZ#745380)

* 以前，squirrelmail 程序包不符合关于行长度限制的 RFC 2822 规范。结果，不能使用 SquirrelMail 转发行长度大于 998 字符的附件。该修补程序修改了底层源代码，现在 SquirrelMail 按预期符合 RFC 2822 规范。
(BZ#745469)

* 在此更新之前，squirrelmail 程序包在安装或升级程序包时，需要 php-common 脚本而不是 mod_php 脚本，从而导致依存关系错误。因此，系统尝试使用 php53 程序包安装或升级 squirrelmail 程序包失败。通过此更新，已更改 squirrelmail 程序包的依存关系，现在安装或升级能够在描述情况下正确运行。(BZ#789353)

建议所有 SquirrelMail 用户升级此更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 squirrelmail 套件，可修正一個安全性問題和數個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

SquirrelMail 是以 PHP 撰寫的標準式 Webmail 套件。

SquirrelMail 安全性更新 RHSA-2012:0103 並未 (未如 erratum 文字所述) 更正 CVE-2010-2813 問題 (SquirrelMail 處理登入失敗嘗試的方式存在瑕疵)。嘗試以內含 8 位元字元之密碼登入時，即便使用者名稱無效，仍會建立使用者喜好設定檔案。遠端攻擊者可利用此瑕疵，最終消耗目標 SquirrelMail 伺服器上的所有硬碟空間。(CVE-2012-2124)

此更新也可修正下列錯誤：

* 在此更新版本之前，SquirrelMail 無法正確解碼多行主旨。因此，解碼標頭國際化選項並未在這些行的開頭正確處理新行或索引標籤。此錯誤已獲得修正，而且 SquirrelMail 目前可在上述狀況下正常運作。
(BZ#241861)

* 由於某個錯誤，以 SquirrelMail 存取時，在 Windows 作業系統上以 HTML 程式碼撰寫的附件並未正確顯示；「!= null」字串刪減為「!ull」。此錯誤已獲得修正，而且該附件目前在此類情況下已可正確顯示。(BZ#359791)

* 之前，使用 SquirrelMail 套件時，無法讀取唯一識別碼 (UID) 大於 2^31 位元組的電子郵件訊息。
透過此修補程式，無論 UID 大小為何，SquirrelMail 套件皆可讀取所有訊息。(BZ#450780)

* 由於存在一個錯誤，PHP 指令碼並未將正確的字元集指派至所要求的變數。因此，SquirrelMail 無法顯示任何電子郵件。基礎原始程式碼已獲得修改，而且 SquirrelMail 套件目前可指派正確的字元集。(BZ#475188)

* 由於 i18n.php 檔案中的錯誤國際化選項，SquirrelMail 套件無法使用 GB 2312 字元集。i18n.php 檔案已獲得修正，而且 GB 2312 字元集可在上述狀況下正常運作。(BZ#508686)

* 之前，preg_split() 函式包含拼錯的常數 (PREG_SPLIT_NI_EMPTY)，可造成 SquirrelMail 產生錯誤訊息。常數名稱已更正為 PREG_SPLIT_NO_EMPTY，SquirrelMail 在此狀況下也不會再產生錯誤訊息。(BZ#528758)

* 由於 Security-Enhanced Linux (SELinux) 設定，無法從 SquirrelMail Web 介面封鎖電子郵件。此更新會新增備註至 SquirrelMail 文件，該文件說明如何設定 SELinux 選項，以允許從 SquirrelMail Web 介面傳送電子郵件。(BZ#745380)

* 之前，SquirrelMail 套件並不符合 RFC 2822 規格的行長度限制。因此，行長度超過 998 個字元的附件，無法使用 SquirrelMail 轉寄。此修補程式會修改基礎原始程式碼，而且 SquirrelMail 目前已如預期符合 RFC 2822 規格。
(BZ#745469)

* 在此更新之前，SquirrelMail 套件在安裝或升級套件期間要求 php-common 指令碼，而非 mod_php 指令碼，進而導致相依性錯誤。因此，無法在使用 php53 套件的系統上嘗試安裝或升級 SquirrelMail 套件。透過此更新，SquirrelMail 套件的相依性已獲得變更，而且目前可在上述狀況下正確進行安裝或升級。(BZ#789353)

建議所有 SquirrelMail 使用者皆升級至此更新版套件，其中包含可更正這些問題的反向移植修補程式。

SquirrelMail 安全性更新 SLSA-2012:0103 並未 (未如 erratum 文字所述) 更正 CVE-2010-2813 問題 (SquirrelMail 處理登入失敗嘗試的方式存在瑕疵)。嘗試以內含 8 位元字元之密碼登入時，即便使用者名稱無效，仍會建立使用者喜好設定檔案。遠端攻擊者可利用此瑕疵，最終消耗目標 SquirrelMail 伺服器上的所有硬碟空間。(CVE-2012-2124)

此更新也可修正下列錯誤：

- 在此更新之前，SquirrelMail 無法正確解碼多行主旨。因此，解碼標頭國際化選項並未在這些行的開頭正確處理新行或索引標籤。
 此錯誤已獲得修正，而且 SquirrelMail 目前可在上述狀況下正常運作。

- 由於存在一個錯誤，以 SquirrelMail 存取時，Windows 作業系統上以 HTML 程式碼撰寫的附件並未正確顯示；'!=null' 字串刪減為 '!ull'。此錯誤已獲得修正，而且該附件目前在此類情況下已可正確顯示。

- 之前，使用 squirrelmail 套件時，無法讀取唯一識別碼 (UID) 大於 2^31 位元組的電子郵件訊息。透過此修補程式，無論 UID 大小為何，SquirrelMail 套件皆可讀取所有訊息。

- 由於存在一個錯誤，PHP 指令碼並未將正確的字元集指派給所要求的變數。因此，SquirrelMail 無法顯示任何電子郵件。基礎原始程式碼已獲得修改，而且 SquirrelMail 套件目前可指派正確的字元集。

- 由於 i18n.php 檔案中的錯誤國際化選項，squirrelmail 套件無法使用 GB 2312 字元集。i18n.php 檔案已獲得修正，而且 GB 2312 字元集可在上述狀況下正常運作。

- 之前，preg_split() 函式包含拼錯的常數 (PREG_SPLIT_NI_EMPTY)，可造成 SquirrelMail 產生錯誤訊息。常數名稱已更正為 PREG_SPLIT_NO_EMPTY，SquirrelMail 在此狀況下也不會再產生錯誤訊息。

- 由於 Security-Enhanced Linux (SELinux) 設定，從 SquirrelMail Web 介面傳送電子郵件的功能遭封鎖。此更新會新增備註至 SquirrelMail 文件，該文件說明如何設定 SELinux 選項，以允許從 SquirrelMail Web 介面傳送電子郵件。

* 之前，squirrelmail 套件並不符合 RFC 2822 規格的行長度限制。
 因此，行長度超過 998 個字元的附件，無法使用 SquirrelMail 轉寄。
 此修補程式會修改基礎原始程式碼，而且 SquirrelMail 目前已如預期符合 RFC 2822 規格。

- 在此更新之前，squirrelmail 套件在安裝或升級套件期間要求 php-common 指令碼，而非 mod_php 指令碼，進而導致相依性錯誤。因此，無法在使用 php53 套件的系統上嘗試安裝或升級 SquirrelMail 套件。透過此更新，SquirrelMail 套件的相依性已獲得變更，而且目前可在上述狀況下正確進行安裝或升級。

SquirrelMail 安全更新 SLSA-2012:0103 未能如勘误表文本所声明纠正 CVE-2010-2813 问题，SquirrelMail 处理失败登录尝试的方式存在缺陷。尝试通过包含 8 位字符的密码登录时，即使用户名无效，也会创建用户首选项文件。远程攻击者可利用该缺陷最终消耗目标 SquirrelMail 服务器上的所有硬盘空间。(CVE-2012-2124)

此更新还修复以下缺陷：

- 在此更新之前，SquirrelMail 无法正确解码多行主题。结果，解码标头国际化选项未能正确地处理新行或行开头的制表符。
 此缺陷已修复，SquirrelMail 现在能够正确地在所述情况中运行。

- 由于存在漏洞，当通过 SquirrelMail 访问时，Windows 操作系统中以 HTML 代码编写的附件不能正确显示；“!= null”字符串被裁剪为“!ull”。此缺陷已修复，附件现在能够在这种情况下正确显示。

- 以前，使用 squirrelmail 程序包时，唯一标识符 (UID) 大于 2^31 字节的电子邮件消息无法读取。通过该修补程序，squirrelmail 程序包能够读取任何 UID 大小的所有消息。

- 由于存在漏洞，PHP 脚本不能将正确的字符集分配到请求变量。结果，SquirrelMail 不能显示任何电子邮件。已修改底层源代码，现在 squirrelmail 程序包可分配正确的字符集。

- 由于位于 i18n.php 文件中的国际化选项不正确，squirrelmail 程序包不能使用 GB 2312 字符集。已修复 i18n.php 文件，GB 2312 字符集可在所述情况下正确运行。

- 以前，preg_split() 函数包含拼写错误的常量 PREG_SPLIT_NI_EMPTY，可导致 SquirrelMail 生成错误消息。常量的名称已修正为 PREG_SPLIT_NO_EMPTY，SquirrelMail 不再在这种情况下生成错误消息。

- 由于安全增强型 Linux (SELinux) 设置，从 SquirrelMail Web 接口发送电子邮件将被阻止。此更新向 SquirrelMail 文档添加了一个注释，描述了如何设置 SELinux 选项才能允许从 SquirrelMail Web 接口发送电子邮件。

- 以前，squirrelmail 程序包不符合关于行长度限制的 RFC 2822 规范。
 结果，不能使用 SquirrelMail 转发行长度大于 998 字符的附件。
 该修补程序修改了底层源代码，现在 SquirrelMail 按预期符合 RFC 2822 规范。

- 在此更新之前，squirrelmail 程序包在安装或升级程序包时，需要 php-common 脚本而不是 mod_php 脚本，从而导致依存关系错误。因此，系统尝试使用 php53 程序包安装或升级 squirrelmail 程序包失败。通过此更新，已更改 squirrelmail 程序包的依存关系，现在安装或升级能够在描述情况下正确运行。

The remote Redhat Enterprise Linux 4 host has one or more packages installed that are affected by a vulnerability that has been acknowledged by the vendor but will not be patched.

  - squirrelmail: CVE-2010-2813 not fixed in RHSA-2012:0103 (CVE-2012-2124)

Note that Nessus has not tested for this issue but has instead relied on the package manager's report that the package is installed.

From Red Hat Security Advisory 2013:0126 :

An updated squirrelmail package that fixes one security issue and several bugs is now available for Red Hat Enterprise Linux 5.

The Red Hat Security Response Team has rated this update as having low security impact. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available from the CVE link in the References section.

SquirrelMail is a standards-based webmail package written in PHP.

The SquirrelMail security update RHSA-2012:0103 did not, unlike the erratum text stated, correct the CVE-2010-2813 issue, a flaw in the way SquirrelMail handled failed log in attempts. A user preference file was created when attempting to log in with a password containing an 8-bit character, even if the username was not valid. A remote attacker could use this flaw to eventually consume all hard disk space on the target SquirrelMail server. (CVE-2012-2124)

This update also fixes the following bugs :

* Prior to this update, SquirrelMail could not decode multi-line subjects properly. Consequently, the decode header internationalization option did not properly handle new lines or tabs at the beginning of the lines. This bug has been fixed and SquirrelMail now works correctly in the described scenario.
(BZ#241861)

* Due to a bug, attachments written in HTML code on the Windows operating system were not displayed properly when accessed with SquirrelMail; the '!=null' string was trimmed to '!ull'. This bug has been fixed and the attachments are now displayed correctly in such a case. (BZ#359791)

* Previously, e-mail messages with a Unique Identifier (UID) larger than 2^31 bytes were unreadable when using the squirrelmail package.
With this patch the squirrelmail package is able to read all messages regardless of the UIDs size. (BZ#450780)

* Due to a bug, a PHP script did not assign the proper character set to requested variables. Consequently, SquirrelMail could not display any e-mails. The underlying source code has been modified and now the squirrelmail package assigns the correct character set. (BZ#475188)

* Due to the incorrect internationalization option located at the i18n.php file, the squirrelmail package could not use the GB 2312 character set. The i18n.php file has been fixed and the GB 2312 character set works correctly in the described scenario. (BZ#508686)

* Previously, the preg_split() function contained a misspelled constant, PREG_SPLIT_NI_EMPTY, which could cause SquirrelMail to produce error messages. The name of the constant has been corrected to PREG_SPLIT_NO_EMPTY, and SquirrelMail no longer produces error messages in this scenario. (BZ#528758)

* Due to Security-Enhanced Linux (SELinux) settings, sending e-mails from the SquirrelMail web interface was blocked. This update adds a note to the SquirrelMail documentation that describes how to set the SELinux options to allow sending e-mails from the SquirrelMail web interface. (BZ#745380)

* Previously, the squirrelmail package did not comply with the RFC 2822 specification about line length limits. Consequently, attachments with lines longer than 998 characters could not be forwarded using SquirrelMail. This patch modifies the underlying source code and now SquirrelMail complies with the RFC 2822 specification as expected.
(BZ#745469)

* Prior to this update, the squirrelmail package required the php-common script instead of the mod_php script during installation or upgrade of the package, which led to a dependency error. As a result, attempting to install or upgrade the squirrelmail package failed on systems using the php53 packages. With this update, the dependencies of the squirrelmail package were changed and the installation or upgrade now works correctly in the described scenario. (BZ#789353)

All users of SquirrelMail are advised to upgrade to this updated package, which contains backported patches to correct these issues.

Red Hat セキュリティアドバイザリ 2013:0126 から：

1 つのセキュリティの問題といくつかのバグを修正する更新済みの squirrelmail パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

SquirrelMail は PHP で書かれた標準ベースの Webmail パッケージです。

SquirrelMail セキュリティ更新 RHSA-2012:0103 が、記述されているエラータテキストとは異なり、CVE-2010-2813 の問題、つまり SquirrelMail が失敗したログを処理しようとする方法にある欠陥を、修正していませんでした。8 ビット文字を含んでいるパスワードでログインしようとすると、ユーザー名が有効でなくても、ユーザー設定ファイルが作成されていました。リモートの攻撃者が、この欠陥を利用し、最終的にターゲットの SquirrelMail サーバーのハードディスクの全スペースを消費する可能性があります。(CVE-2012-2124)

この更新は以下のバグも修正します：

* この更新が出る前は、SquirrelMail は複数行の件名を適切に解読できませんでした。その結果、デコードヘッダーの国際化オプションが、行の先頭にある新しい行やタブを適切に処理していませんでした。このバグは修正されていて、現在は SquirrelMail は上述のシナリオで適切に動作します。
（BZ#241861）

*バグのため、Windows オペレーティングシステムで HTML コードで書かれた添付ファイルが、SquirrelMail でアクセスされたときには適切に表示されませんでした。「!= null」文字列が「!ull」にトリミングされていました。このバグが修正され、現在は、このような場合でも添付ファイルは適切に表示されます。（BZ#359791）

* 以前は、一意識別子（UID）が 2^31 バイトより大きいメールメッセージは、squirrelmail パッケージを使用していると読み込めませんでした。
このパッチにより、squirrelmail パッケージは、 UID のサイズに関わらず、すべてのメッセージを読み込めるようになりました。（BZ#450780）

* バグがあるため、PHP スクリプトが、リクエストされた変数に適切な文字セットを割り当てていませんでした。この結果、SquirrelMail はメールをまったく表示できませんでした。下層にあるソースコードが修正され、現在は squirrelmail パッケージは正しい文字セットを割り当てるようになっています。（BZ#475188）

* i18n.php ファイルにある国際化オプションが適切でないため、 squirrelmail パッケージが、 GB 2312 文字セットを使用できませんでした。i18n.php ファイルが修正され、上述のシナリオでも GB 2312 文字セットが正しく機能するようになっています。（BZ#508686）

* 以前は、preg_split() 関数に「PREG_SPLIT_NI_EMPTY」というスペル間違った定数があり、これにより SquirrelMail がエラーメッセージを生成していました。定数の名前が「PREG_SPLIT_NO_EMPTY」と訂正され、このシナリオで SquirrelMail はエラーメッセージを生成しなくなりました。（BZ#528758）

* Security-Enhanced Linux（SELinux）の設定のため、 SquirrelMail の Web インターフェイスからのメール送信がブロックされていました。この更新により、 SquirrelMail の Web インターフェイスからのメール送信を可能にする SELinux オプションの設定方法についての説明が SquirrelMail のドキュメントに追加されました。（BZ#745380）

* 以前は、squirrelmail パッケージが、行の長さの制限に関する RFC 2822 仕様に適合していませんでした。この結果、行が 998 文字より長い添付ファイルを SquirrelMail を使用して転送することができませんでした。このパッチにより下層にあるソースコードが変更され、現在は SquirrelMail は予期していた通りに RFC 2822 仕様に適合するようになっています。
（BZ#745469）

* この更新以前では、squirrelmail パッケージが、パッケージのインストールやアップグレードの際に、mod_php スクリプトではなく、php-common スクリプトを要求し、これが依存関係エラーを発生させていました。結果として、php53 パッケージを使用しているシステムで、 squirrelmail パッケージをインストールやアップグレードしようとすると失敗しました。この更新により、squirrelmail パッケージの依存関係が変更され、上述のシナリオでのインストールやアップグレードは現在は正しく動作するようになっています。（BZ#789353）

SquirrelMail の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

來自 Red Hat 安全性公告 2013:0126：

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 squirrelmail 套件，可修正一個安全性問題和數個錯誤。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

SquirrelMail 是以 PHP 撰寫的標準式 Webmail 套件。

SquirrelMail 安全性更新 RHSA-2012:0103 並未 (未如 erratum 文字所述) 更正 CVE-2010-2813 問題 (SquirrelMail 處理登入失敗嘗試的方式存在瑕疵)。嘗試以內含 8 位元字元之密碼登入時，即便使用者名稱無效，仍會建立使用者喜好設定檔案。遠端攻擊者可利用此瑕疵，最終消耗目標 SquirrelMail 伺服器上的所有硬碟空間。(CVE-2012-2124)

此更新也可修正下列錯誤：

* 在此更新版本之前，SquirrelMail 無法正確解碼多行主旨。因此，解碼標頭國際化選項並未在這些行的開頭正確處理新行或索引標籤。此錯誤已獲得修正，而且 SquirrelMail 目前可在上述狀況下正常運作。
(BZ#241861)

* 由於存在一個錯誤，以 SquirrelMail 存取時，Windows 作業系統上以 HTML 程式碼撰寫的附件並未正確顯示；'!=null' 字串刪減為 '!ull'。此錯誤已獲得修正，而且該附件目前在此類情況下已可正確顯示。(BZ#359791)

* 之前，使用 SquirrelMail 套件時，無法讀取唯一識別碼 (UID) 大於 2^31 位元組的電子郵件訊息。
透過此修補程式，無論 UID 大小為何，SquirrelMail 套件皆可讀取所有訊息。(BZ#450780)

* 由於存在一個錯誤，PHP 指令碼並未將正確的字元集指派至所要求的變數。因此，SquirrelMail 無法顯示任何電子郵件。基礎原始程式碼已獲得修改，而且 SquirrelMail 套件目前可指派正確的字元集。(BZ#475188)

* 由於 i18n.php 檔案中的錯誤國際化選項，SquirrelMail 套件無法使用 GB 2312 字元集。i18n.php 檔案已獲得修正，而且 GB 2312 字元集可在上述狀況下正常運作。(BZ#508686)

* 之前，preg_split() 函式包含拼錯的常數 (PREG_SPLIT_NI_EMPTY)，可造成 SquirrelMail 產生錯誤訊息。常數名稱已更正為 PREG_SPLIT_NO_EMPTY，SquirrelMail 在此狀況下也不會再產生錯誤訊息。(BZ#528758)

* 由於 Security-Enhanced Linux (SELinux) 設定，無法從 SquirrelMail Web 介面封鎖電子郵件。此更新會新增備註至 SquirrelMail 文件，該文件說明如何設定 SELinux 選項，以允許從 SquirrelMail Web 介面傳送電子郵件。(BZ#745380)

* 之前，SquirrelMail 套件並不符合 RFC 2822 規格的行長度限制。因此，行長度超過 998 個字元的附件，無法使用 SquirrelMail 轉寄。此修補程式會修改基礎原始程式碼，而且 SquirrelMail 目前已如預期符合 RFC 2822 規格。
(BZ#745469)

* 在此更新之前，SquirrelMail 套件在安裝或升級套件期間要求 php-common 指令碼，而非 mod_php 指令碼，進而導致相依性錯誤。因此，無法在使用 php53 套件的系統上嘗試安裝或升級 SquirrelMail 套件。透過此更新，SquirrelMail 套件的相依性已獲得變更，而且目前可在上述狀況下正確進行安裝或升級。(BZ#789353)

建議所有 SquirrelMail 使用者皆升級至此更新版套件，其中包含可更正這些問題的反向移植修補程式。

来自 Red Hat 安全公告 2013:0126：

更新后的 squirrelmail 程序包修复了一个安全问题和多个缺陷，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

SquirrelMail 是以 PHP 编写的标准 webmail 程序包。

SquirrelMail 安全更新 RHSA-2012:0103 未能如勘误表文本所声明纠正 CVE-2010-2813 问题，SquirrelMail 处理失败登录尝试的方式存在缺陷。尝试通过包含 8 位字符的密码登录时，即使用户名无效，也会创建用户首选项文件。远程攻击者可利用该缺陷最终消耗目标 SquirrelMail 服务器上的所有硬盘空间。(CVE-2012-2124)

此更新还修复以下缺陷：

*在此更新之前，SquirrelMail 不能正确地解码多行主题。结果，解码标头国际化选项未能正确地处理新行或行开头的制表符。此缺陷已修复，SquirrelMail 现在能够正确地在所述情况中运行。
(BZ#241861)

* 由于存在缺陷，当通过 SquirrelMail 访问时，Windows 操作系统中以 HTML 代码编写的附件不能正确显示；“!=null”字符串被裁剪为“!ull”。此缺陷已修复，附件现在能够在这种情况下正确显示。(BZ#359791)

* 以前，使用 squirrelmail 程序包时，唯一标识符 (UID) 大于 2^31 字节的电子邮件消息无法读取。
通过该修补程序，squirrelmail 程序包能够读取任何 UID 大小的所有消息。(BZ#450780)

* 由于存在漏洞，PHP 脚本不能将正确的字符集分配到请求变量。结果，SquirrelMail 不能显示任何电子邮件。已修改底层源代码，现在 squirrelmail 程序包可分配正确的字符集。(BZ#475188)

* 由于位于 i18n.php 文件中的国际化选项不正确，squirrelmail 程序包不能使用 GB 2312 字符集。已修复 i18n.php 文件，GB 2312 字符集可在所述情况下正确运行。(BZ#508686)

* 以前，preg_split() 函数包含拼写错误的常量 PREG_SPLIT_NI_EMPTY，可导致 SquirrelMail 生成错误消息。常量的名称已修正为 PREG_SPLIT_NO_EMPTY，SquirrelMail 不再在这种情况下生成错误消息。(BZ#528758)

* 由于安全增强型 Linux (SELinux) 设置，从 SquirrelMail Web 接口发送电子邮件将被阻止。此更新向 SquirrelMail 文档添加了一个注释，描述了如何设置 SELinux 选项才能允许从 SquirrelMail Web 接口发送电子邮件。(BZ#745380)

* 以前，squirrelmail 程序包不符合关于行长度限制的 RFC 2822 规范。结果，不能使用 SquirrelMail 转发行长度大于 998 字符的附件。该修补程序修改了底层源代码，现在 SquirrelMail 按预期符合 RFC 2822 规范。
(BZ#745469)

* 在此更新之前，squirrelmail 程序包在安装或升级程序包时，需要 php-common 脚本而不是 mod_php 脚本，从而导致依存关系错误。因此，系统尝试使用 php53 程序包安装或升级 squirrelmail 程序包失败。通过此更新，已更改 squirrelmail 程序包的依存关系，现在安装或升级能够在描述情况下正确运行。(BZ#789353)

建议所有 SquirrelMail 用户升级此更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

ID	名稱	產品	系列	已發布	已更新	嚴重性
63604	Scientific Linux Security Update : squirrelmail on SL5.x (noarch) (20130108)	Nessus	Scientific Linux Local Security Checks	2013/1/17	2021/1/14	medium
63409	RHEL 5 : squirrelmail (RHSA-2013:0126)	Nessus	Red Hat Local Security Checks	2013/1/8	2021/1/14	medium
63409	RHEL 5：squirrelmail（RHSA-2013:0126）	Nessus	Red Hat Local Security Checks	2013/1/8	2021/1/14	medium
63604	Scientific Linux セキュリティ更新：SL5.x の squirrelmail（noarch）	Nessus	Scientific Linux Local Security Checks	2013/1/17	2021/1/14	medium
63409	RHEL 5：squirrelmail (RHSA-2013:0126)	Nessus	Red Hat Local Security Checks	2013/1/8	2021/1/14	medium
63409	RHEL 5：squirrelmail (RHSA-2013:0126)	Nessus	Red Hat Local Security Checks	2013/1/8	2021/1/14	medium
63604	Scientific Linux 安全性更新：SL5.x 上的 squirrelmail (noarch)	Nessus	Scientific Linux Local Security Checks	2013/1/17	2021/1/14	medium
63604	Scientific Linux 安全更新：SL5.x 中的 squirrelmail (noarch)	Nessus	Scientific Linux Local Security Checks	2013/1/17	2021/1/14	medium
199665	RHEL 4 : squirrelmail (Unpatched Vulnerability)	Nessus	Red Hat Local Security Checks	2024/6/3	2024/6/3	high
68697	Oracle Linux 5 : squirrelmail (ELSA-2013-0126)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
63571	CentOS 5 : squirrelmail (CESA-2013:0126)	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	medium
68697	Oracle Linux 5：squirrelmail（ELSA-2013-0126）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
63571	CentOS 5：squirrelmail（CESA-2013:0126）	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	medium
68697	Oracle Linux 5 : squirrelmail (ELSA-2013-0126)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
63571	CentOS 5 : squirrelmail (CESA-2013:0126)	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	medium
63571	CentOS 5：squirrelmail (CESA-2013:0126)	Nessus	CentOS Local Security Checks	2013/1/17	2021/1/4	medium
68697	Oracle Linux 5：squirrelmail (ELSA-2013-0126)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

high

medium

medium

medium

medium

medium

medium

medium

medium