URL: https://linuxfr.org/users/patrick_g/journaux/squirrelmail-compromis Title: SquirrelMail compromis Authors: patrick_g Date: 2007年12月19日T14:16:00+01:00 Tags: lwn Score: 0 SquirrelMail est un logiciel de webmail écrit en PHP et disponible sous licence GPL. Apparemment les versions 1.4.11 et 1.4.12 ont été compromises et les packages qui étaient disponibles en téléchargement sur le site ( [http://squirrelmail.org/index.php](http://squirrelmail.org/index.php) ) contenaient une modification permettant de prendre le contrôle du serveur exécutant SquirrelMail. "_While initial review didn't uncover a need for concern, several proof of concepts show that the package alterations introduce a high risk security issue, allowing remote inclusion of files. These changes would allow a remote user the ability to execute exploit code on a victim machine, without any user interaction on the victim's server. This could grant the attacker the ability to deploy further code on the victim's server. We **STRONGLY** advise all users of 1.4.11, and 1.4.12 upgrade immediately._". La version de dev 1.5.1 est également compromise : [http://thread.gmane.org/gmane.mail.squirrelmail.user/33503](http://thread.gmane.org/gmane.mail.squirrelmail.user/33503) Le problème a été détecté car les sommes de contrôles MD5 des versions téléchargées ne correspondaient pas avec celles publiées sur le site. Une version saine 1.4.13 est maintenant disponible est les utilisateurs des deux versions antérieures sont invités à mettre à jour d'urgence leur application. Sur LWN les commentaires se sont orientés sur la résistance réelle de MD5 et sur l'urgence qu'il y aurait à basculer vers SHA-1 ou SHA-256. En définitive cette affaire est quand même une invitation a toujours vérifier la somme de contrôle quand on télécharge un logiciel sur le net.