Alerta de Segurança Debian

DSA-163-1 mhonarc -- cross site scripting

Data do Alerta:

09 Set 2002

Pacotes Afetados:

mhonarc

Vulnerável:

Sim

Referência à base de dados de segurança:

Na base de dados do BugTraq (na SecurityFocus): ID BugTraq 4546.
No dicionário CVE do Mitre: CVE-2002-0738.

Informações adicionais:

Jason Molenda e Hiromitsu Takagi encontraram formas de explorar uma falha cross site scripting no mhonarc, um conversor de e-mail para HTML. Ao processar e-mails do tipo text/html, o mhonarc, não desativa todos as partes do script corretamente. Isso foi corrigido na versão 2.5.3 do autor.

Se você está preocupado com a segurança, então é recomendado que você desabilite o suporte a mensagens text/html em seu arquivo de e-mails. Não há garantias que a biblioteca mhtxthtml.pl library é robusta o suficiente para eliminar todas as possíveis explorações que podem ocorrer com dados HTML.

Para excluir dados HTML, você pode usar o recurso MIMEEXCS. Por exemplo:

    <MIMEExcs>
    text/html
    text/x-html
    </MIMEExcs>

O tipo "text/x-html" não é usado mais, mas é bom incluí-lo, de qualquer forma.

Se está preocupado que isso possa bloquear todo o conteúdo de suas mensagens, então você pode fazer o seguinte:

    <MIMEFilters>
    text/html; m2h_text_plain::filter; mhtxtplain.pl
    text/x-html; m2h_text_plain::filter; mhtxtplain.pl
    </MIMEFilters>

Isso trata HTML como text/plain.

Os problemas acima foram corrigidos na versão 2.5.2-1.1 para a atual distribuição estável (woody), na versão 2.4.4-1.1 para a antiga versão estável (potato) e na versão 2.5.11-1 para a distribuição instável (sid).

Nós recomendamos que você atualize seus pacotes mhonarc.

Corrigido em:

Debian GNU/Linux 2.2 (potato)

Fonte:: http://security.debian.org/pool/updates/main/m/mhonarc/mhonarc_2.4.4-1.1.dsc; http://security.debian.org/pool/updates/main/m/mhonarc/mhonarc_2.4.4-1.1.diff.gz; http://security.debian.org/pool/updates/main/m/mhonarc/mhonarc_2.4.4.orig.tar.gz
Componente independente de arquitetura:: http://security.debian.org/pool/updates/main/m/mhonarc/mhonarc_2.4.4-1.1_all.deb

Debian GNU/Linux 3.0 (woody)

Fonte:: http://security.debian.org/pool/updates/main/m/mhonarc/mhonarc_2.5.2-1.1.dsc; http://security.debian.org/pool/updates/main/m/mhonarc/mhonarc_2.5.2-1.1.diff.gz; http://security.debian.org/pool/updates/main/m/mhonarc/mhonarc_2.5.2.orig.tar.gz
Componente independente de arquitetura:: http://security.debian.org/pool/updates/main/m/mhonarc/mhonarc_2.5.2-1.1_all.deb

Checksums MD5 dos arquivos listados estão disponíveis no alerta original.