Webmailer Squirrelmail ermöglicht Ausführen fremder PHP-Skripte

Sicherheitslücken in Squirrelmail, einem in PHP geschriebenen Webmailer, ermöglichen es Angreifern, eigene PHP-Skripte und Befehle auf dem Server auszuführen. Über eine undefinierte Variable in src/webmail.php lassen sich eigene Parameter angeben, um PHP-Skripte von fremden Servern nachzuladen und auszuführen. Auch im Modul functions/prefs.php lässt sich eine nicht initialisierte Variable zum Einschleusen und Ausführen eigener Skripte ausnutzen. Allerdings muss hierzu register_globals aktiviert sein. Seit PHP 4.2.0 ist dies standardmäßig nicht mehr der Fall. Zusätzlich findet sich in webmail.php noch eine Cross-Site-Scripting-Lücke, mit der sich Anwendern über präparierte URLs JavaScript unterjubeln lässt. Angreifer können so beispielsweise Authentifizierungs-Cookies kopieren. Alle Fehler sind in Version 1.4.4 beseitigt.

Siehe dazu auch: (dab)

• Changelog zu Squirrelmail 1.4.4