CVE-2017-7413

Wysokie

Opublikowano: 04/04/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W Horde_Crypt przed wersją 2.7.6, używanym w Horde Groupware Webmail Edition do wersji 5.2.17, może wystąpić wstrzyknięcie poleceń systemowych, jeśli atakujący jest uwierzytelnionym użytkownikiem Horde Webmail, ma włączone funkcje PGP w swoich preferencjach i próbuje zaszyfrować e-mail skierowany na złośliwie skonstruowany adres e-mail.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do wykonania dowolnych poleceń systemowych na serwerze, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.

Rekomendacja

Zaleca się aktualizację Horde_Crypt do wersji 2.7.6 lub nowszej oraz przegląd ustawień PGP użytkowników, aby zminimalizować ryzyko wstrzyknięcia poleceń.

Inne podatności w Horde_Crypt

CVE-2017-7414Wysokie
W Horde_Crypt przed wersją 2.7.6, używanym w Horde Groupware Webmail Edition 5.x do 5.2.17, może wystąpić wstrzyknięcie poleceń systemowych, jeśli użytkownik ma włączone funkcje PGP oraz preferencję automatycznej weryfikacji podpisanych wiadomości PGP. Atakujący może wysłać złośliwie skonstruowany e-mail podpisany PGP do użytkownika Horde, który musi go wyświetlić lub podglądać.

Oryginalny opis (angielski, źródło NVD)

In Horde_Crypt before 2.7.6, as used in Horde Groupware Webmail Edition through 5.2.17, OS Command Injection can occur if the attacker is an authenticated Horde Webmail user, has PGP features enabled in their preferences, and attempts to encrypt an email addressed to a maliciously crafted email address.