SquirrelMailにおけるクロスサイトスクリプティングの脆弱性

SNS Advisory No.86

Problem first discovered on: Tue, 15 Nov 2005
Published on: Tue, 4 Apr 2006
Modifid on: Mon, 24 Apr 2006

脅威度

中

WebメールシステムであるSquirrelMailには、HTMLメールに含まれるスクリプトを適切に除去できていない問題が存在しています。

SquirrelMailは、PHP言語で開発されたウェブメールシステムです。

SquirrelMailには、受信したHTMLメールを表示する際に、スクリプトを除去して安全に表示する機能が備わっています。

しかしながら、このスクリプトの除去機能には抜けが存在しています。

このため、攻撃者から、この問題を悪用するHTMLメールを受け取り、表示してしまった場合に、本人になりすまされてシステムを操作されてしまうなどの被害を受ける恐れがあります。

SquirrelMail 1.4.0～1.4.6 Release Candidate

SquirrelMail 1.4.6以降のバージョンにアップデートしてください。

山崎圭吾（ラック）

謝辞：
本問題は、情報処理推進機構（IPA）、およびJPCERT/CCによる『情報システム等の脆弱性関連情報の届出制度』に従い届出を行いました。

この記事をシェアする

メールマガジン

サイバーセキュリティや
ラックに関する情報を
お届けします。

この記事は役に立ちましたか？

はいいいえ