在 webmail 應用程式 SquirrelMail 中發現多種弱點。Common Vulnerabilities and Exposures 專案發現下列弱點：

- CVE-2010-4554 SquirrelMail 未防止在第三方 HTML 框架內進行頁面轉譯，其可使遠端攻擊者更容易透過特製網站，發動點擊劫持攻擊。

- CVE-2010-4555、CVE-2011-2752、CVE-2011-2753 SquirrelMail 中有多個小錯誤，允許攻擊者將惡意指令碼插入各種頁面，或者更改使用者偏好設定的內容。

- CVE-2011-2023 可以在電子郵件訊息中的 HTML 部分利用特製的 STYLE 元素，插入任意 web 指令碼或 HTML。

現已提供適用於 Red Hat Enterprise Linux 4 和 5 的更新版 squirrelmail 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

SquirrelMail 是以 PHP 撰寫的標準式 Webmail 套件。

SquirrelMail 執行 HTML 樣式標籤內容的清理時，發現了跨網站指令碼 (XSS) 瑕疵。遠端攻擊者可利用此瑕疵傳送特製的多用途網際網路郵件延伸標準 (MIME) 訊息，受害者開啟它時，會導致在其 SquirrelMail 工作階段內容中執行任意 Web 指令碼。(CVE-2011-2023)

在 SquirrelMail 中發現多個跨網站指令碼 (XSS) 瑕疵。
遠端攻擊者可能會利用這些瑕疵，在受害者的 SquirrelMail 工作階段內容中執行任意 Web 指令碼。
(CVE-2010-4555)

在 SquirrelMail 處理多種 HTML 輸入欄位之內容的方式中發現一個輸入清理瑕疵。遠端攻擊者可利用此瑕疵，透過這些欄位輸入中所包含的新行字元，改變使用者喜好設定值。(CVE-2011-2752)

據發現，SquirrelMail Empty Trash 和 Index Order 頁面未有效防止跨網站要求偽造 (CSRF) 攻擊。如果遠端攻擊者誘騙登入 SquirrelMail 的使用者造訪特製的 URL，攻擊者可清空受害者的 trash 資料夾，或改變訊息索引頁上的欄順序。(CVE-2011-2753)

允許 SquirrelMail 載入至 HTML 子框架，會導致遠端攻擊者對已登入的使用者執行點擊劫持攻擊，並可能取得敏感使用者資料的存取權。利用此項更新，SquirrelMail 主框架僅可載入至最頂端的瀏覽器框架。(CVE-2010-4554)

在 SquirrelMail 處理登入失敗嘗試的方式中發現一個瑕疵。嘗試以內含 8 位元字元之密碼登入時，即便使用者名稱無效，仍會建立使用者喜好設定檔案。遠端攻擊者可利用此瑕疵，最終消耗目標 SquirrelMail 伺服器上的所有硬碟空間。
(CVE-2010-2813)

在 SquirrelMail Mail Fetch 外掛程式中發現一個瑕疵。如果系統管理員啟用了此外掛程式，SquirrelMail 使用者可將此瑕疵用於連接埠，在開啟伺服器時掃描本機網路。(CVE-2010-1637)

SquirrelMail 的使用者應升級至此更新版套件，其中包含可更正這些問題的反向移植修補程式。

修正：

- CVE-2011-2023：包含帶有惡意指令碼屬性的樣式標籤沒有清理即予以顯示

- CVE-2010-4555：攻擊者可利用 SquirrelMail 中的數個小錯誤之一，將惡意指令碼插入各種頁面或者更改使用者偏好設定的內容

- CVE-2010-4554：SquirrelMail 易受點擊劫持攻擊，此時可將整個應用程式載入可重疊 SquirrelMail 上方之其他元素的框架中

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

來自 Red Hat 安全性公告 2012:0103：

現已提供適用於 Red Hat Enterprise Linux 4 和 5 的更新版 squirrelmail 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

SquirrelMail 是以 PHP 撰寫的標準式 Webmail 套件。

SquirrelMail 執行 HTML 樣式標籤內容的清理時，發現了跨網站指令碼 (XSS) 瑕疵。遠端攻擊者可利用此瑕疵傳送特製的多用途網際網路郵件延伸標準 (MIME) 訊息，受害者開啟它時，會導致在其 SquirrelMail 工作階段內容中執行任意 Web 指令碼。(CVE-2011-2023)

在 SquirrelMail 中發現多個跨網站指令碼 (XSS) 瑕疵。
遠端攻擊者可能會利用這些瑕疵，在受害者的 SquirrelMail 工作階段內容中執行任意 Web 指令碼。
(CVE-2010-4555)

在 SquirrelMail 處理多種 HTML 輸入欄位之內容的方式中發現一個輸入清理瑕疵。遠端攻擊者可利用此瑕疵，透過這些欄位輸入中所包含的新行字元，改變使用者喜好設定值。(CVE-2011-2752)

據發現，SquirrelMail Empty Trash 和 Index Order 頁面未有效防止跨網站要求偽造 (CSRF) 攻擊。如果遠端攻擊者誘騙登入 SquirrelMail 的使用者造訪特製的 URL，攻擊者可清空受害者的 trash 資料夾，或改變訊息索引頁上的欄順序。(CVE-2011-2753)

允許 SquirrelMail 載入至 HTML 子框架，會導致遠端攻擊者對已登入的使用者執行點擊劫持攻擊，並可能取得敏感使用者資料的存取權。利用此項更新，SquirrelMail 主框架僅可載入至最頂端的瀏覽器框架。(CVE-2010-4554)

在 SquirrelMail 處理登入失敗嘗試的方式中發現一個瑕疵。嘗試以內含 8 位元字元之密碼登入時，即便使用者名稱無效，仍會建立使用者喜好設定檔案。遠端攻擊者可利用此瑕疵，最終消耗目標 SquirrelMail 伺服器上的所有硬碟空間。
(CVE-2010-2813)

在 SquirrelMail Mail Fetch 外掛程式中發現一個瑕疵。如果系統管理員啟用了此外掛程式，SquirrelMail 使用者可將此瑕疵用於連接埠，在開啟伺服器時掃描本機網路。(CVE-2010-1637)

SquirrelMail 的使用者應升級至此更新版套件，其中包含可更正這些問題的反向移植修補程式。

SquirrelMail 是以 PHP 撰寫的標準式 Webmail 套件。

SquirrelMail 執行 HTML 樣式標籤內容的清理時，發現了跨網站指令碼 (XSS) 瑕疵。遠端攻擊者可利用此瑕疵傳送特製的多用途網際網路郵件延伸標準 (MIME) 訊息，受害者開啟它時，會導致在其 SquirrelMail 工作階段內容中執行任意 Web 指令碼。(CVE-2011-2023)

在 SquirrelMail 中發現多個跨網站指令碼 (XSS) 瑕疵。
遠端攻擊者可能會利用這些瑕疵，在受害者的 SquirrelMail 工作階段內容中執行任意 Web 指令碼。
(CVE-2010-4555)

在 SquirrelMail 處理多種 HTML 輸入欄位之內容的方式中發現一個輸入清理瑕疵。遠端攻擊者可利用此瑕疵，透過這些欄位輸入中所包含的新行字元，改變使用者喜好設定值。(CVE-2011-2752)

據發現，SquirrelMail Empty Trash 和 Index Order 頁面未有效防止跨網站要求偽造 (CSRF) 攻擊。如果遠端攻擊者誘騙登入 SquirrelMail 的使用者造訪特製的 URL，攻擊者可清空受害者的 trash 資料夾，或改變訊息索引頁上的欄順序。(CVE-2011-2753)

允許 SquirrelMail 載入至 HTML 子框架，會導致遠端攻擊者對已登入的使用者執行點擊劫持攻擊，並可能取得敏感使用者資料的存取權。利用此項更新，SquirrelMail 主框架僅可載入至最頂端的瀏覽器框架。(CVE-2010-4554)

在 SquirrelMail 處理登入失敗嘗試的方式中發現一個瑕疵。嘗試以內含 8 位元字元之密碼登入時，即便使用者名稱無效，仍會建立使用者喜好設定檔案。遠端攻擊者可利用此瑕疵，最終消耗目標 SquirrelMail 伺服器上的所有硬碟空間。
(CVE-2010-2813)

在 SquirrelMail Mail Fetch 外掛程式中發現一個瑕疵。如果系統管理員啟用了此外掛程式，SquirrelMail 使用者可將此瑕疵用於連接埠，在開啟伺服器時掃描本機網路。(CVE-2010-1637)

SquirrelMail 的使用者應升級至此更新版套件，其中包含可更正這些問題的反向移植修補程式。

遠端主機執行的 Mac OS X 10.6 版本並未套用安全性更新 2012-001。此項更新包含下列元件的多項安全性相關修正：

- Apache
 - ATS
 - ColorSync
 - CoreAudio
 - CoreMedia
 - CoreText
 - curl
 - Data Security
 - dovecot
 - filecmds
 - libresolv
 - libsecurity
 - OpenGL
 - PHP
 - QuickTime
 - SquirrelMail
 - Subversion
 - Tomcat
 - X11

ID	名稱	產品	系列	已發布	已更新	嚴重性
55776	Debian DSA-2291-1：squirrelmail - 多種弱點	Nessus	Debian Local Security Checks	2011/8/9	2021/1/11	medium
57870	RHEL 4 / 5 : squirrelmail (RHSA-2012:0103)	Nessus	Red Hat Local Security Checks	2012/2/9	2021/1/14	medium
57864	CentOS 4 / 5 : squirrelmail (CESA-2012:0103)	Nessus	CentOS Local Security Checks	2012/2/9	2021/1/4	medium
55659	Fedora 14 : squirrelmail-1.4.22-2.fc14 (2011-9309)	Nessus	Fedora Local Security Checks	2011/7/25	2021/1/11	medium
68452	Oracle Linux 4 / 5 : squirrelmail (ELSA-2012-0103)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
55660	Fedora 15 : squirrelmail-1.4.22-2.fc15 (2011-9311)	Nessus	Fedora Local Security Checks	2011/7/25	2021/1/11	medium
61240	Scientific Linux 安全性更新：SL4.x、SL5.x 上的 squirrelmail	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
57798	Mac OS X 多個弱點 (安全性更新 2012-001) (BEAST)	Nessus	MacOS X Local Security Checks	2012/2/2	2022/12/5	critical

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

critical