Manipulierte SquirrelMail-Pakete entdeckt

Entwickler stufen Änderungen als ungefährlich ein. Die Archive der SquirrelMail-Version 1.4.12 wurden offenbar nach ihrer Veröffentlichung verändert. Zwar sollen auch die manipulierten Pakete des freien IMAP-Webmail-Frontends nicht gefährlich sein, die Entwickler raten aber vorsichtshalber dazu, die Version erneut herunterzuladen.

14. Dezember 2007 um 14:14 Uhr / Julius Stiebert

Aufgefallen war dem SquirrelMail-Entwickler Jonathan Angliss, dass die MD5-Summen der am 5. Dezember 2007 veröffentlichten Pakete nicht mehr mit dem tatsächlich auf dem Server vorhandenen Archiv übereinstimmten. Bei der Untersuchung stellte sich heraus, dass die Pakete verändert wurden. Das Projekt nimmt an, dass dies über einen kompromittierten Entwicklerzugang geschah.

Nach weiteren Untersuchungen fanden die Programmierer die Änderung, die nach ihren Angaben wenig Auswirkungen haben soll und eher zu einem Fehler als zur Kompromittierung eines Systems führen soll. Allerdings können die Modifizierungen nicht komplett untersucht werden. Daher rät das Projekt jedem, der SquirrelMail 1.4.12 nach dem 8. Dezember 2007 heruntergeladen hat, nun die Originaldateien erneut herunterzuladen. Weitere Untersuchungen sollen zeigen, ob auch ältere Daten verändert wurden.

Die korrekten MD5-Summen für die Pakete lauten:
ea5e750797628c9f0f247009f8ae0e14 squirrelmail-1.4.12.tar.bz2
d17c1d9f1ee3dde2c1c21a22fc4f9d0e squirrelmail-1.4.12.tar.gz
3f6514939ea1ebf69f6f8c92781886ab squirrelmail-1.4.12.zip