Sicherheitslücke in SquirrelMail

Mit einer neuen Version der Webmail-Software SqirrelMail haben die Entwickler eine Sicherheitslücke geschlossen. Es geht dabei um einen Fehler, der es am Webmailer angemeldeten Angreifern erlaubt, die zuletzt verfasste E-Mail anderer Nutzer einzusehen und zu manipulieren.

Die Schwachstelle ist in einer Funktion der PHP-Software zu finden, die dazu dient, E-Mail-Nachrichten auch nach einem Timeout der Benutzersitzung am Server weiterzuschreiben. Den Entwicklern zufolge könnten angemeldete User durch Ausnutzen der Lücke die Benutzereinstellungen und E-Mail-Anhänge anderer Anwender lesen und schreiben. Die Dokumentation zu einem Reparatur-Patch listet jedoch zahlreiche Variablen wie send_to_bcc oder body als von Angreifern modifizierbar auf. Das legt den Verdacht nahe, dass die Mails in noch weiter gehendem Maße manipulierbar sind. Interessant an dieser Lücke: Die PHP-Option register_globals hat keinerlei Einfluss darauf.

Die SquirrelMail-Entwickler stellen zusätzlich einen Minimal-Patch bereit, der die fehlerhafte Funktion löscht.

Das Sicherheitsleck betrifft SquirrelMail 1.4.0 bis einschließlich Version 1.4.7. Die jetzt verfügbare Version 1.4.8 schließt die Schwachstelle; auch weitere Fehler sind darin behoben worden. Die Entwickler empfehlen Administratoren von SquirrelMail-Installationen, die neue Version umgehend einzuspielen.

Siehe dazu auch: (dmk)

• SquirrelMail 1.4.8 released - fixes variable overwriting attack, Fehlermeldung auf der Bugtraq-Mailingliste