CentOS 3 / 4：SquirrelMail (CESA-2005:595-02)

medium Nessus 插件 ID 67029

语言：

简介

远程 CentOS 主机缺少安全更新。

描述

更新后的 squirrelmail 程序包修复了两个安全问题，现在可用。

Red Hat 安全响应团队将此更新评级为具有中等安全影响。

[更新日期为 2005 年 8 月 4 日] 随此勘误表发布的上一个 SquirrelMail 程序包中包含将通讯录显示为不用的缺陷。
已使用用于更正此问题的程序包更新了勘误表。

SquirrelMail 是以 PHP4 编写的标准 webmail 程序包。

在 SquirrelMail 处理 $_POST 变量的方式中发现了一个缺陷。
如果用户受到诱骗访问恶意 URL，则可读取或修改该用户的 SquirrelMail 首选项。通用漏洞和暴露计划为此问题分配了名称 CVE-2005-2095。

在 SquirrelMail 中发现多个跨站脚本缺陷。攻击者可通过诱骗用户访问精心构建的 URL 或向用户发送精心构建的 HTML 电子邮件消息，在 SquirrelMail 页面中注入任意 JavaScript 或 HTML 内容。通用漏洞和暴露计划为此问题分配了名称 CVE-2005-1769。

所有 SquirrelMail 用户都应升级此更新后的程序包，其中包含用于解决这些问题的向后移植的修补程序。