home *** CD-ROM | disk | FTP | other *** search
/ Chip 2007 January, February, March & April / Chip-Cover-CD-2007-02.iso / Pakiet bezpieczenstwa / mini Pentoo LiveCD 2006.1 / mpentoo-2006.1.iso / modules / nessus-2.2.8.mo / usr / lib / nessus / plugins / gentoo_GLSA-200405-16.nasl < prev    next >
Text File  |  2005-03-31  |  3KB  |  71 lines
  1. # This script was automatically generated from 
  2. #  http://www.gentoo.org/security/en/glsa/glsa-200405-16.xml
  3. # It is released under the Nessus Script Licence.
  4. # The messages are release under the Creative Commons - Attribution /
  5. # Share Alike license. See http://creativecommons.org/licenses/by-sa/2.0/
  6. #
  7. # Avisory is copyright 2001-2004 Gentoo Foundation, Inc.
  8. # GLSA2nasl Convertor is copyright 2004 Michel Arboi
  9.  
  10. if (! defined_func('bn_random')) exit(0);
  11.  
  12. if (description)
  13. {
  14.  script_id(14502);
  15.  script_version("$Revision: 1.1 $");
  16.  script_xref(name: "GLSA", value: "200405-16");
  17.  script_xref(name: "CERT", value: "CA-2000-02");
  18.  
  19.  desc = 'The remote host is affected by the vulnerability described in GLSA-200405-16
  20. (Multiple XSS Vulnerabilities in SquirrelMail)
  21.  
  22.  
  23.     Several unspecified cross-site scripting (XSS) vulnerabilities and a well
  24.     hidden SQL injection vulnerability were found. An XSS attack allows an
  25.     attacker to insert malicious code into a web-based application.
  26.     SquirrelMail does not check for code when parsing variables received via
  27.     the URL query string.
  28.   
  29. Impact
  30.  
  31.     One of the XSS vulnerabilities could be exploited by an attacker to steal
  32.     cookie-based authentication credentials from the user\'s browser. The SQL
  33.     injection issue could potentially be used by an attacker to run arbitrary
  34.     SQL commands inside the SquirrelMail database with privileges of the
  35.     SquirrelMail database user.
  36.   
  37. Workaround
  38.  
  39.     There is no known workaround at this time. All users are advised to upgrade
  40.     to version 1.4.3_rc1 or higher of SquirrelMail.
  41.   
  42. References:
  43.     http://sourceforge.net/mailarchive/forum.php?thread_id=4199060&forum_id=1988
  44.     http://www.securityfocus.com/bid/10246/
  45.     http://www.cert.org/advisories/CA-2000-02.html
  46.  
  47.  
  48. Solution: 
  49.     All SquirrelMail users should upgrade to the latest stable version:
  50.     # emerge sync
  51.     # emerge -pv ">=net-mail/squirrelmail-1.4.3_rc1"
  52.     # emerge ">=net-mail/squirrelmail-1.4.3_rc1"
  53.   
  54.  
  55. Risk Factor : Medium
  56. ';
  57.  script_description(english: desc);
  58.  script_copyright(english: "(C) 2004 Michel Arboi");
  59.  script_name(english: "[GLSA-200405-16] Multiple XSS Vulnerabilities in SquirrelMail");
  60.  script_category(ACT_GATHER_INFO);
  61.  script_family(english: "Gentoo Local Security Checks");
  62.  script_dependencies("ssh_get_info.nasl");
  63.  script_require_keys('Host/Gentoo/qpkg-list');
  64.  script_summary(english: 'Multiple XSS Vulnerabilities in SquirrelMail');
  65.  exit(0);
  66. }
  67.  
  68. include('qpkg.inc');
  69. if (qpkg_check(package: "net-mail/squirrelmail", unaffected: make_list("ge 1.4.3_rc1"), vulnerable: make_list("lt 1.4.3_rc1")
  70. )) { security_warning(0); exit(0); }
  71.