U radu programskog paketa AtMail Open uočena su dva sigurnosna propusta. Riječ je o poznatom web klijentu napisanom u programskom jeziku PHP. Propusti se javljaju kao posljedica neispravne provjere ulaznih podataka predanih putem parametra "func" datotekama ldap.php i search.php. Napadači ranjivosti mogu iskoristiti za umetanje proizvoljnog HTML ili skriptnog koda u korisnikovom pregledniku u kontekstu posebno oblikovane web stranice. Svim se korisnicima preporuča izmjena izvornog koda.

_______________________________________________________________________________

ID upozorenja: ADV-LSS-2011-12-063
Naslov: Dvije ranjivosti programskog paketa AtMail Open
Datum: 2011-12-06
OS: Windows, Linux/UNIX
Programski paket: AtMail Open
Tip sigurnosnog problema: XSS napad
Rizik: Malen
_______________________________________________________________________________

[1]  Uvod

Prilikom upotrebe programskog paketa AtMail Open uocene su dvije sigurnosne 
ranjivosti.

Radi se o web klijentu napisanom u jeziku PHP (eng. Hypertext Preprocessor).

Bitnije od njegovih karakteristika su:
- pruzanje elegantnog Ajax webmail klijenta za postojece IMAP mail posluzitelje,
- moguce koristenje na raznim platformama,
- jednostavnost koristenja,
- besplatan je, 
- i dr.
Vise detalja o navedenom programskom paketu dostupno je na sljedecoj web adresi:

http://atmail.org/

-------------------------------------------------------------------------------

[2]  Sigurnosni problem

Propusti uoceni u radu paketa AtMail Open napadacima omogucuju izvodjenje XSS 
(eng. cross-site scripting) napada.

-------------------------------------------------------------------------------

[3]  Sigurnosna zastita

Svim se korisnicima savjetuje ispravljanje izvornog koda kako bi osigurali da se podaci ispravno obradjuju.

-------------------------------------------------------------------------------

[4]  Analiza

Ulazni podaci predani preko parametra "func" datotekama ldap.php i search.php 
nisu ispravno provjereni prije vracanja korisniku. To se moze iskoristiti za 
pokretanje proizvoljnog HTML ili skriptnog koda u korisnikovom pregledniku u 
kontekstu posebno oblikovane web stranice.

Ranjivosti su potvrdjene u inacici 1.04. Ostale inacice takodjer mogu sadrzavati 
iste ranjivosti.

-------------------------------------------------------------------------------

[5]  Credit

Informacije o propustu otkrio je:

Dognaedis.

Tekst izvorne preporuke nalazi se na sljedeÄ