Scientific Linux 安全更新：SL3.x、SL4.x、SL5.x i386/x86_64 中的 squirrelmail

medium Nessus 插件 ID 60519

语言：

简介

远程 Scientific Linux 主机缺少安全更新。

描述

Ivan Markovic 发现 HTML 邮件审查不充分造成的 SquirrelMail 中存在跨站脚本 (XSS) 缺陷。远程攻击者可发送特别构建的 HTML 邮件或附件，当用户打开该电子邮件或附件时，可能会导致用户 Web 浏览器在 SquirrelMail 会话上下文中运行恶意脚本。(CVE-2008-2379)

已发现 SquirrelMail 允许不安全的连接上存在 Cookie （即未将 Cookie 限制于 HTTPS 连接）。当用户向服务器发出 HTTP 请求时，如果攻击者控制着用户与 SquirrelMail 服务器之间的通信通道或能够嗅探用户网络通信，则可利用此缺陷获取用户的会话 Cookie。(CVE-2008-3663)

注意：应用此更新后，为在 HTTPS 连接上发起的 SquirrelMail 会话设置的所有会话 Cookie 将具有“secure”标记集。也就是说，浏览器将仅通过 HTTPS 连接发送这些 Cookie。如有必要，可通过在 SquirrelMail 的 /etc/squirrelmail/config.php 配置文件中，将配置选项“$only_secure_cookies”设为“false”，恢复到之前的行为。