Avis du CERT-FR
Objet : Vulnérabilités dans Horde
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Injection de code indirecte
Systèmes affectés
- Horde Groupware versions antérieures à 1.1.5.
- Horde versions antérieures à 3.2.4 ;
- Horde versions antérieures à 3.3.3 ;
Résumé
Des vulnérabilités dans Horde permettent à une personne malintentionnée d'effectuer une injection de code indirecte (cross-site scripting) et de contourner la politique de sécurité.
Description
Des vulnérabilités ont été corrigées dans Horde. Celles-ci concernent un manque de contrôle de paramètres en entrée pour les fichiers cloud_search.php et Image.php. Ceci peut être exploité pour effectuer une injection de code indirecte et inclure des fichiers locaux.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Annonce de sécurité du 27 janvier 2009 pour Horde 1.1.5 :
http://lists.horde.org/archives/announce/2009/000486.html -
Annonce de sécurité du 27 janvier 2009 pour Horde 3.2.4 :
http://lists.horde.org/archives/announce/2009/000483.html -
Annonce de sécurité du 27 janvier 2009 pour Horde 3.3.3 :
http://lists.horde.org/archives/announce/2009/000482.html
Gestion détaillée du document
| Date | Description |
|---|---|
| 28 janvier 2009 | version initiale. |