Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 

De la Théorie à la pratique











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

Vigil@nce : SquirrelMail, Cross Site Scripting

décembre 2008 par Vigil@nce

SYNTHÈSE

Un attaquant peut envoyer un email HTML afin de provoquer un Cross Site Scripting dans le navigateur web des victimes consultant ce mail avec SquirrelMail.

Gravité : 2/4

Conséquences : accès/droits client

Provenance : document

Moyen d’attaque : aucun démonstrateur, aucune attaque

Compétence de l’attaquant : expert (4/4)

Confiance : confirmé par l’éditeur (5/5)

Diffusion de la configuration vulnérable : élevée (3/3)

Date création : 04/12/2008

PRODUITS CONCERNÉS

- Debian Linux
- Fedora
- OpenSUSE
- SuSE Linux
- SUSE LINUX Enterprise Server
- Unix - plateforme

DESCRIPTION

Le serveur SquirrelMail permet aux utilisateurs de consulter leur messagerie par le biais d’une interface web.

Lorsqu’un document HTML contient un lien, la syntaxe suivante est généralement employée : ... Les guillemets sont facultatifs si l’url ne contient pas d’espace.

SquirrelMail reconstruit le tag, mais ne met pas de guillemets autour de l’attribut. Un attaquant peut alors employer une url contenant un espace afin d’injecter du code HTML dans la page générée.

Un attaquant peut donc envoyer un email HTML afin de provoquer un Cross Site Scripting dans le navigateur web des victimes consultant ce mail avec SquirrelMail.

CARACTÉRISTIQUES

Références : BID-32603, CVE-2008-2379, DSA 1682-1, FEDORA-2008-10740, FEDORA-2008-10748, FEDORA-2008-10918, SUSE-SR:2008:027, VIGILANCE-VUL-8285

http://vigilance.fr/vulnerabilite/8285




Voir les articles précédents

    

Voir les articles suivants