PreguntasLinux

Cross Site Scripting / Acceso-modificación de información sensible


Se ha reportado una vulnerabilidad en SquirrelMail, la cual podría ser explotada para leer y modificar las preferencias de otros usuarios, efectuar ataques de Cross Site Scripting y escribir archivos arbitrarios en un sistema vulnerable.


Resumen
Un error de validación de datos de entrada podría permitir leer y modificar las preferencias de otros usuarios, efectuar ataques de Cross Site Scripting y escribir archivos arbitrarios en un sistema vulnerable.


Versiones Afectadas
Esta vulnerabilidad afecta a SquirrelMail en sus versiones 1.4.0 a 1.4.5-RC1


Detalles
Un error en la la validación de datos de entrada en el archivo options_identities.php por el cual la variable $_POST no es adecuadamente filtrada podría ser explotado por atacantes para leer y modificar las preferencias de otros usuarios, efectuar ataques de Cross Site Scripting y escribir archivos arbitrarios en un sistema vulnerable.


Impacto
El impacto de las vulnerabilidades se considera ALTO


Recomendaciones
Actualizar SquirrelMail a la versión 1.4.5:

http://www.squirrelmail.org/download.php


Referencias

Alerta original:
http://www.squirrelmail.org/security/issue/2005-07-13
http://www.squirrelmail.org/changelog.php

Secunia

FrSIRT


Saludos!!!..