GLSA 200504-24: eGroupWare: XSS and SQL injection vulnerabilities

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	eGroupWare: XSS and SQL injection vulnerabilities
Дата:	25.04.2005
Ошибки:	#89517
ID:	200504-24

Сводка

eGroupWare is affected by several SQL injection and cross-site scripting (XSS) vulnerabilities.

Назначение

eGroupWare is a suite of web-based group applications including calendar, address book, messenger and email.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
www-apps/egroupware	< 1.0.0.007	>= 1.0.0.007	All supported architectures

Описание

Multiple SQL injection and cross-site scripting vulnerabilities have been found in several eGroupWare modules.

Воздействие

An attacker could possibly use the SQL injection vulnerabilities to gain information from the database. Furthermore the cross-site scripting issues give an attacker the ability to inject and execute malicious script code or to steal cookie based authentication credentials, potentially compromising the victim's browser.

Обход

There is no known workaround at this time.

Решение

All eGroupWare users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=www-apps/egroupware-1.0.0.007"

Ссылки

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200504-24.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.