Les utilisateurs de Horde Webmail sont invit\u00e9s \u00e0 d\u00e9sactiver une fonctionnalit\u00e9 pour contenir une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 non corrig\u00e9e vieille de neuf ans dans le logiciel qui pourrait \u00eatre exploit\u00e9e pour obtenir un acc\u00e8s complet aux comptes de messagerie simplement en pr\u00e9visualisant une pi\u00e8ce jointe.<\/p>\n
“Cela donne \u00e0 l’attaquant un acc\u00e8s \u00e0 toutes les informations sensibles et peut-\u00eatre secr\u00e8tes qu’une victime a stock\u00e9es dans son compte de messagerie et pourrait lui permettre d’acc\u00e9der davantage aux services internes d’une organisation”, a d\u00e9clar\u00e9 Simon Scannell, chercheur en vuln\u00e9rabilit\u00e9s \u00e0 SonarSource. mentionn\u00e9<\/a> dans un rapport.<\/p>\n Une “tout projet b\u00e9n\u00e9vole<\/a>“, le projet Horde est une suite de communication gratuite bas\u00e9e sur un navigateur qui permet aux utilisateurs de lire, d’envoyer et d’organiser des e-mails, ainsi que de g\u00e9rer et de partager des calendriers, des contacts, des t\u00e2ches, des notes, des fichiers et des signets.<\/p>\n La faille, qui a \u00e9t\u00e9 introduite dans le cadre d’un changement de code<\/a> pouss\u00e9 le 30 novembre 2012, concerne un cas de faille de script intersite stock\u00e9e “inhabituelle” (ou XSS persistant) qui permet \u00e0 un adversaire de cr\u00e9er un document OpenOffice de telle mani\u00e8re que lorsqu’il est pr\u00e9visualis\u00e9, il ex\u00e9cute automatiquement JavaScript arbitraire charge utile.<\/p>\n Les attaques XSS stock\u00e9es surviennent lorsqu’un script malveillant est inject\u00e9 directement dans le serveur d’une application Web vuln\u00e9rable, tel qu’un champ de commentaire d’un site Web, entra\u00eenant la r\u00e9cup\u00e9ration et la transmission du code non fiable au navigateur de la victime chaque fois que les informations stock\u00e9es sont demand\u00e9es.<\/p>\n “La vuln\u00e9rabilit\u00e9 se d\u00e9clenche lorsqu’un utilisateur cibl\u00e9 affiche un document OpenOffice joint dans le navigateur”, a d\u00e9clar\u00e9 Scannell. “En cons\u00e9quence, un attaquant peut voler tous les e-mails que la victime a envoy\u00e9s et re\u00e7us.”<\/p>\n Pire encore, si un compte administrateur avec un e-mail personnalis\u00e9 et malveillant est compromis avec succ\u00e8s, l’attaquant pourrait abuser de cet acc\u00e8s privil\u00e9gi\u00e9 pour prendre le contr\u00f4le de l’ensemble du serveur de messagerie Web.<\/p>\n La lacune a \u00e9t\u00e9 initialement signal\u00e9e aux responsables du projet le 26 ao\u00fbt 2021, mais \u00e0 ce jour, aucun correctif n’a \u00e9t\u00e9 envoy\u00e9 malgr\u00e9 la confirmation du fournisseur reconnaissant la faille. Nous avons contact\u00e9 Horde pour plus de commentaires, et nous mettrons \u00e0 jour si nous recevons une r\u00e9ponse.<\/p>\n Dans l’intervalle, il est conseill\u00e9 aux utilisateurs de Horde Webmail de d\u00e9sactiver le rendu des pi\u00e8ces jointes OpenOffice en modifiant le config\/mime_drivers.php<\/a> fichier pour ajouter l’option de configuration ‘disable’ => true au gestionnaire mime OpenOffice.<\/p>\n <\/p>\n<\/div>\n![\"Sauvegardes](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/02\/Alertes-CISA-sur-les-failles-activement-exploitees-dans-la-plate-forme.png\")
<\/a><\/div>\n![\"Emp\u00eacher](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/02\/1645701002_140_Dridex-Malware-Deploiement-Entropy-Ransomware-sur-des-ordinateurs-pirates.png\")
<\/a><\/div>\n