IceWarp Mail Server sérülékenységek

CH azonosító

CH-9482

Angol cím

IceWarp Mail Server Cross-Site Scripting and XML External Entities Vulnerabilities

Felfedezés dátuma

2013.06.26.

Súlyosság

Közepes

Érintett rendszerek

IceWarp Software
Server

Érintett verziók

IceWarp Server 10.x

Összefoglaló

Az IceWarp Mail Server több sérülékenységét jelentették, amiket kihasználva a támadók cross-site scripting (XSS/CSS) támadásokat hajthatnak végre, illetve bizalmas információkat szerezhetnek.

Leírás

  1. A /webmail/calendar/index.html és a /admin/tools/svnparser.html részére átadott bemeneti adatok nem megfelelően vannak megtisztítva a felhasználónak történő visszaadás előtt. Ezt kihasználva tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.
  2. A külső XML entitások feldolgozása során a /rpc/gw.html-ben keletkező hibát kihasználva helyi állományok tartalmát lehet megszerezni.

A sérülékenységeket a 10.4.5 és korábbi verziókban jelentették.

Megoldás

Frissítsen a legújabb verzióra