安全研究
安全漏洞
SquirrelMail信息头字段可插入脚本漏洞
发布日期:2002-05-03
更新日期:2002-05-09
受影响系统:SquirrelMail SquirrelMail 1.2.5
SquirrelMail SquirrelMail 1.2.3
SquirrelMail SquirrelMail 1.2.2
SquirrelMail SquirrelMail 1.2.1
SquirrelMail SquirrelMail 1.2.0
不受影响系统:SquirrelMail SquirrelMail 1.2.6
描述:
BUGTRAQ ID:
4667
SquirrelMail是一款由PHP实现的WEBMAIL程序,可使用在多种Linux和Unix操作系统下。
SquirrelMail对用户提交给信息头字段的数据缺少正确充分正确的检查,可导致攻击者进行跨站脚本执行攻击。
攻击者可以在SquirrelMail的信息头字段输入包含恶意脚本代码的链接,由于SquirrelMail在生成HTML页面时没有对脚本代码标记进行过滤,浏览用户查看包含恶意代码的链接时,可导致代码在浏览用户浏览器上执行,使用户基于Cookie认证的敏感信息泄露。
<*来源:Nick Cleaton
链接:
http://sourceforge.net/mailarchive/message.php?msg_id=1418037
*>
建议:
临时解决方法:
如果您不能立刻安装补丁或者升级,NSFOCUS建议您采取以下措施以降低威胁:
* 修改程序,严格过滤用户输入的数据,不允许JavaScript脚本或对<>字符进行转换。
* 设置浏览器禁用JavaScript。
厂商补丁:
SquirrelMail
------------
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:
升级程序到squirrelmail-1.2.6版本:
SquirrelMail Upgrade squirrelmail-1.2.6
http://www.squirrelmail.org/download.php浏览次数:2824
严重程度:0(网友投票)
本安全漏洞由绿盟科技翻译整理,版权所有,未经许可,不得转载 绿盟科技给您安全的保障 |