Sicherheitslücken in Webmailer SquirrelMail

Schwachstelle durch Cross-Site-Scripting ausnutzbar

Im beliebten Webmailer SquirrelMail sind diverse Sicherheitslücken entdeckt worden, die es einem Angreifer ermöglichen könnten, durch eine URL-Manipulation die Session eines legitimen Anwenders zu übernehmen und so Kontrolle über seine Mails und den Webmailer zu erlangen.

Dies kann nach Angaben der Entwickler der quelloffenen Software auch mit einer E-Mail an das potenzielle Opfer erreicht werden: Enthält sie einen speziell präparierten Link und wird dieser von SquirrelMail aus geöffnet, könnten die Session-Daten an den Serverbetreiber, auf den die URL verweist, gelangen und dieser ebenfalls die Benutzer-Session übernehmen.

Die "Cross Site Scripting (XSS)"-Schwachstellen betreffen die SquirrelMail-Versionen 1.4.0 bis 1.4.4. Für diese ist mittlerweile ein Patch erhältlich. Mit der Veröffentlichung von SquirrelMail 1.4.5 Release Candidate 1 sollen diese Verwundbarkeiten ausgemerzt sein. Das Final-Release der Version der 1.4.5 soll ungefähr Anfang Juli 2005 erscheinen.