URL: https://linuxfr.org/users/patrick_g/journaux/squirrelmail-compromisone-more-time Title: SquirrelMail compromis...one more time ! Authors: patrick_g Date: 2009年08月01日T13:59:57+02:00 Tags: Score: 24 SquirrelMail est un logiciel libre de webmail écrit en PHP. Le 17 décembre 2007 un [journal LinuxFR](http://linuxfr.org//~patrick_g/25856.html) annonçait la compromission du serveur hébergeant le projet SquirrelMail et la distribution de packages compromis par l'attaquant ayant pris le contrôle du serveur. Un cauchemar absolu donc pour l'équipe SquirrelMail, le pire qui puisse arriver à un projet. On pouvait donc espérer que les développeurs allait être plus prudents et sécuriser au maximum leur serveur...et bien c'est vraiment raté ! Le 16 juin dernier, avec une curieuse sensation de déjà vu, la compromission du serveur SquirrelMail [a été annoncée](http://sourceforge.net/mailarchive/message.php?msg_name=4A3A7E69.4070401%40squirrelmail.org) par un mail laconique sur la liste de diffusion. Les administrateurs, pensant à la réputation de leur projet, se sont voulu rassurants : "_The project administrators took immediate action to mitigate any futher compromises, locking all accounts out, and resetting critical passwords. At this time, the SquirrelMail project administrators have shutdown access to the original server, and put a temporary hold on access to the plugins. It is believed that none of the plugins have been compromised, but further investigations are still being executed. The compromise of this server does not include a compromise of the source control, which is hosted on a separate repository managed by SourceForge_". Bon donc en gros le serveur a été compromis mais à priori ("_It is believed_") l'attaquant n'a rien pu faire. Hélas, trois fois hélas, le 31 juillet [il a été annoncé](http://sourceforge.net/mailarchive/message.php?msg_name=4A727634.3080008%40squirrelmail.org) que plusieurs plugins de SquirrelMail avaient en fait été [trojanés](http://fr.wikipedia.org/wiki/Cheval_de_Troie_%28informatique%29) : "_During the initial announcement, we'd mentioned that we did not believe that any of the plugins had been compromised. Further investigation has shown that the following plugins were indeed compromised: - sasql-3.2.0 - multilogin-2.4-1.2.9 - change_pass-3.0-1.4.0 Parts of these code changes attempts to send mail to an offsite server containing passwords. We cannot establish a timeline of when these plugins were compromised_". Ouch ! Le plus inquiétant est évidemment la phrase finale qui indique que les développeurs du projet ne savent absolument pas depuis quand ces plugins sont compromis. Les utilisateurs actuels de ces plugins sont invités à télécharger **de toute urgence** les versions saines se trouvant [sur le site SquirrelMail](http://squirrelmail.org/index.php). Une fois cette action d'autodéfense effectuée les utilisateurs de SquirrelMail pourront souffler...jusqu'à la prochaine fois.