Horde-ryhmä julkaisi IMP:n (www-pohjainen IMAP-postiohjelma) version
2.2.6, joka korjaa kolme tietoturvaongelmaa. Ryhmän julkaisu kuvaa ne
seuraavasti:
- PHPLIB-haavoittuma sallii hyökkääjän asettaa arvoja taulukon
elementille $_PHPLIB[libdir] ja siten saada palvelin lataamaan ja
suorittamaan skriptejä toiselta koneelta. Tätä haavoittumaa voidaan
käyttää myös etäkoneelta. (Horde 1.2.x toimitetaan oman räätälöidyn
version kanssa PHPLIBIstä, jossaa on paikattu tämä ongelma.)
- "javascript:":n kierolla koodauksella hyökkääjä voi saada postia
lukevan käyttäjän selaimen suorittamaan pahansuopaa JavaScript-koodia.
(IMP 2.2.x jo ennestään suodattaa monia tällaisia kuvioita; nyt
suodatetaan myös useita uusia, jotka ennen pääsivät näiden
suodattimien läpi.)
- Vihamielinen käyttäjä, joka voi luoda julkisesti luettavan
tiedoston nimeltään "prefs.lang" jonnekin Apache/PHP-palvelimelle, voi
saada tämän tiedoston suoritettavaksi PHP-koodina. Näin voidaan lukea
IMP-asetustiedostot, Horde-tietokannan salasanat ja muokata
tietokantaa, jonne yhteystiedot ja mieltymykset tallennetaan jne.
Emme usko, että tätä voidaan käyttää etäkoneelta suoraan
Apache/PHP/IMP:n välityksellä; kuitenkin shell-tunnukssella
palvelimelle tai muilla tavoin (esim. FTP) voidaan tällainen tiedosto
luoda.
Tämä on korjattu versiossa 2:2.2.6-0.potato.1. Huomattakoon, että myös
horde-paketti täytyy päivittää samaan versioon.
