Jouko Pynnonen har opdaget et problem med IMP, et webbaseret IMAP-postprogram. Ved hjælp af omhyggeligt fremstillede URL'er, kan en fjernangriber indsprøjte SQL-kode ind i SQL-forspørgsler uden korrekt brugerautentifikation. Selvom resultaterne af SQL-forespørgslerne ikke er direkte læsbare på skærmen, kan en angriber opdateres sin e-mail-signatur til at indeholde de ønskede forespørgselsresultater, og dernæst se dem på sin indstillingsside i IMP.
Omfanget af SQL-indsprøjtningen er kraftigt afhængig af den underliggende database og dens opsætning. Hvis PostgreSQL anvendes, er det muligt at udføre flere komplette SQL-forespørgsler adskilt af semikoloner. Databasen indeholder session-id'er, så angriberen kan kapre sessioner tilhørende folk der logget på for at læse deres post. I værste fald, hvis hordemgr-brugeren har de fornødne rettigheder til at anvende COPY SQL-kommandoen (der i hvert fald findes i PostgreSQL), kan en fjernbruger læse eller skrive til alle filer som databasebrugeren (postgres) kan. Angriberen kan dernæst få mulighed for at udføre vilkårlige shell-kommandoer, ved at skrive dem til postgres-brugerens ~/.psqlrc; de blive udført når brugeren starter psql-kommandoen, hvilket i nogle opsætninger sker jævnligt fra et cron-script.
I den aktuelle stabile distribution (woody) er dette problem rettet i version 2.2.6-5.1.
I den gamle stabile distribution (potato) er dette problem rettet i version 2.2.6-0.potato.5.1.
I den ustabile distribution (sid) er dette problem rettet i version 2.2.6-7.
Vi anbefaler at du opgraderer dine IMP-pakker.
MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.
MD5-kontrolsummer for de listede filer findes i den reviderede sikkerhedsbulletin.