图片 1

Sylpheed不错的邮件客户端,也有漏洞,请看下文。

之后,Gentoo 在官网发布多条公告说明事件的处理进度,直到 5
天后的7月3日,Gentoo
才正式将事件标记为已解决,恶意提交和被污染的文件已处理,Gentoo GitHub
组织被重新解锁。Gentoo
还在其官网上发布了一篇关于整个事件的详细报告,并表示收集的相关证据表明事件的根本原因是他们使用的密码方案过于简单,在某个站点上的披露使得攻击者很容易猜出在其他不相关网页的密码,致使攻击者获得了组织管理员的密码和访问权限。

信息提供:

受影响系统:

图片 2

安全公告(或线索)提供热线:51cto.editor@gmail.com

Sylpheed Sylpheed 2.4.4

(文/开源中国)    

漏洞类别:

Sylpheed Sylpheed-Claws 2.10.0

SQL注入漏洞

Sylpheed Sylpheed-Claws 1.9.100

攻击类型:

描述:

远程攻击

BUGTRAQ ID: 25430

发布日期:

CVE(CAN) ID: CVE-2007-2958

2005-09-01

Sylpheed和Sylpheed-Claws都是轻型的邮件客户端。

更新日期:

Sylpheed和Sylpheed-Claws在处理用户请求存在格式串处理漏洞,远程攻击者可能利用此漏洞控制客户端。

2005-09-01

Sylpheed和Sylpheed-Claws邮件客户端的src/inc.c文件中的inc_put_error()函数在显示POP3服务器的错误响应时存在格式串漏洞处理,如果用户受骗连接到了恶意的POP3服务器并接收到包含有格式标识符的回复的话,就可能触发这个漏洞,导致执行任意指令。

受影响系统:

<*来源:Ulf Harnhammar
([email protected])

Gentoo Linux 1.x

链接:

安全系统:

*>

漏洞报告人:

建议:

Gentoo

厂商补丁:

漏洞描述:

Gentoo

Secunia Advisory: SA16661


Gentoo对pam_ldap进行升级,修复了两个可被恶意攻击者用来执行SQL注入攻击或威胁易受感染系统的安全的漏洞。

Gentoo发布了一个安全公告(GLSA-200710-29)以及相应补丁:

1)输入传递到
“module”参数的信息在用作SQL查询之前未经正确处理。这可导致恶意攻击者通过注入任意SQL代码来操纵SQL查询。成功的攻击需要使
“magic_quotes_gpc”不可用。

GLSA-200710-29:Sylpheed, Claws Mail: User-assisted remote execution of

2)某些嵌入到配置文档的
XML标志在用作”eval()”调用之前未经正确处理。这可导致恶意攻击者在易受感染系统上执行任意PHP代码。

链接:

测试方法:

所有Sylpheed用户都应升级到最新版本:

# emerge –sync

解决方法:

# emerge –ask –oneshot –verbose “>=mail-client/sylpheed-2.4.5”

升级到”www-apps/phpwebsite-0.10.2_rc2″ 或更新的版本

所有Claws Mail用户都应升级到最新版本:

原文:Gentoo对phpwebsite进行升级
返回网络安全首页

# emerge –sync

# emerge –ask –oneshot –verbose “>=mail-client/claws-mail-3.0.0”

Sylpheed


厂商发布了升级补丁以修复这个安全问题,请到厂商的主页下载:

希望大家看了这篇文章,赶快去修补漏洞去吧!

不错的邮件客户端,也有漏洞,请看下文。
受影响系统: Sylpheed Sylpheed 2.4.4 Sylpheed Sylpheed-Claws 2.10.0
Sylpheed Sylpheed-Claws 1.9.100 描述:…