CERT-FI haavoittuvuustiedote 093/2009

22.9.2009

Haavoittuvuuksia Horde-projektin ohjelmistoissa

Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- tietojen muokkaaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Horde on palvelinohjelmistoprojekti, jonka avulla voi rakentaa www-selaimella käytettävän sähköpostipalvelun. Hordesta on löydetty haavoittuvuus, joka mahdollistaa kirjautuneen käyttäjän ylikirjoittaa tiedostojärjestelmästä haluamansa tiedoston WWW-palvelimen oikeuksin. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista kohdistaa järjestelmään muita hyökkäyksiä. Haavoittuvuus liittyy Horde_Form_Type_image-elementtiin, jota käytetään muun muassa osoitekirja- ja valokuvatoiminnoissa.

HAAVOITTUVAT OHJELMISTOT:

• Horde 3.2 ennen versiota 3.2.5 ja 3.3 ennen versiota 3.3.5
• Horde Groupware 1.1 ennen versiota 1.1.6 ja 1.2 ennen versiota 1.2.4
• Horde Groupware Webmail Edition 1.1 ennen versiota 1.1.6 ja 1.2 ennen versiota 1.2.4

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva ohjelmisto valmistajan ohjeen mukaisesti.

LISÄTIETOA:

• CVE-2009-3236
  

PÄIVITYSHISTORIA:

22.9.2009, kello 16.33: Julkaistu

Sivua päivitetty 22.09.2009

Tulostusversio