S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 21 janvier 2009 No CERTA-2009-AVI-025

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans des produits Horde

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Contournement de la politique de sécurité.
• injection de code indirecte (XSS).

2 Systèmes affectés

• Les versions Horde antérieures à 3.3.1 ;
• les versions Horde antérieures à 3.2.3 ;
• les versions Horde Groupware antérieures à 1.2.1 ;
• les versions Horde Groupware antérieures à 1.1.4 ;
• les versions Horde Groupware Webmail Edition antérieures à 1.2.1 ;
• les versions Horde Groupware Webmail Edition antérieures à 1.1.4.

3 Résumé

Une vulnérabilité de type « injection de code indirecte » a été identifiée dans plusieurs produits Horde.

4 Description

Une vulnérabilité de type « injection de code indirecte » a été identifiée dans plusieurs produits Horde. Le filtrage XSS n'est pas correctement effectué dans certaines conditions.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Page officielle du projet Horde :

  http://www.horde.org/
  

• Référence CVE CVE-2008-5917 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-5917
  

• Site de téléchargement Horde :

  http://ftp.horde.org/pub/horde/
  

Gestion détaillée du document

21 janvier 2009

version initiale.