Sicherheitslücke in SquirrelMail

Version 1.4.13 des Open-Source-Webmailers veröffentlicht

Nur wenige Tage, nachdem die Entwickler des freien IMAP-Webmailers SquirrelMail manipulierte Pakete auf ihrem Server entdeckten, ist nun noch eine Sicherheitslücke aufgetaucht. Eine neue Version, die diesen Fehler behebt, ist bereits verfügbar und ein Update wird empfohlen.

Artikel veröffentlicht am 17. Dezember 2007, 9:34 Uhr, Julius Stiebert

Wie die Entwickler der Software mitteilten, waren statt wie anfangs angenommen nicht nur die Pakete der Version 1.4.12, sondern auch die der Version 1.4.11 manipuliert. Während bei der ersten Untersuchung des Quellcodes nur eine kleine Änderung gefunden wurde, die kein Sicherheitsrisiko darstelle, tauchte nun doch noch ein Problem auf, das von den Programmierern selbst als gefährlich eingestuft wird.

Durch diesen Fehler soll es Angreifern möglich sein, Programmcode auf dem Zielserver auszuführen, ohne dass dafür ein Anwender auf dem Server eine Aktion durchführen muss. Durch den so eingeschleusten Code könnte noch weiterer Programmcode zur Ausführung gebracht werden. Diverse Beispiel-Exploits sollen diesen Fehler ausnutzen.

Der Fehler wurde jedoch bereits behoben und eine korrigierte Fassung in Form von SquirrelMail 1.4.13 zum Download bereitgestellt. Allen Anwendern der Versionen 1.4.11 und 1.4.12 wird ein sofortiges Update empfohlen, die Linux-Distributoren sollten in Kürze reagieren.