Angreifer können Code ausführen

Kritische Lücke in SquirrelMail

| Autor / Redakteur: Moritz Jäger / Peter Schmitz

Der Webmailer SquirrelMail enhält eine kritische Sicherheitslücke.
Der Webmailer SquirrelMail enhält eine kritische Sicherheitslücke. (Bild: SquirrelMail)

Der PHP-basierte Webmailer SquirrelMail enthält eine kritische Sicherheitslücke. Diese tritt auf, wenn Sendmail statt SMTP für den Versand von E-Mails genutzt wird und erlaubt Angreifern das Ausführen von Code. Einen Bugfix gibt es derzeit nicht, Abhilfe schafft es, auf Sendmail zu verzichten.

SquirrelMail ist ein beliebter Webmail-Client auf PHP-Basis. Das liegt vor allem an seinem geringen Ressourcenverbrauch und der Kompatibilität zu nahezu allen Endgeräten. Allerdings enthalten die Versionen bis inklusive 1.4.23 enthalten eine kritische Schwachstelle. Diese tritt auf, wenn SquirrelMail in Kombination mit Sendmail genutzt wird. Schickt ein Angreifer eine manipulierte E-Mail kann er Code auf dem Server ausführen.

Gefunden wurde die Schwachstelle von Dawid Golunksi, der bereits zwei weitere Schwachstellen in PHP-basierten E-Mail-Systemen gefunden und gemeldet hat. Dieser liefert in seinem Advisory auch gleich das passende Exploit-Beispiel.

Herstellerreaktion und Gegenmaßnahmen

Golunski meldete die Lücke im Januar an die Macher von SquirrelMail. Dieser erbat sich mehr Zeit, um das Problem zu beheben. Allerdings entdeckte ein anderer Forscher die Lücke im April und schickte sie über die Full-Disclosure-Liste in die Öffentlichkeit. Laut Golunski veröffentlichte er die Informationen daher bevor ein Patch verfügbar war.

Bis ein offizieller Patch bereitsteht, sollten Nutzer von Sendmail auf SMTP umsteigen, in diesem Fall lässt sich die Schwachstelle nicht ausnutzen. Die Macher von SquirrelMail haben bis zum Redaktionsschluss kein Update bereitgestellt.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44657377 / Sicherheitslücken)