CVE-2017-7414

Wysokie

Opublikowano: 04/04/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W Horde_Crypt przed wersją 2.7.6, używanym w Horde Groupware Webmail Edition 5.x do 5.2.17, może wystąpić wstrzyknięcie poleceń systemowych, jeśli użytkownik ma włączone funkcje PGP oraz preferencję automatycznej weryfikacji podpisanych wiadomości PGP. Atakujący może wysłać złośliwie skonstruowany e-mail podpisany PGP do użytkownika Horde, który musi go wyświetlić lub podglądać.

Ocena ryzyka

Podatność ta może prowadzić do wykonania nieautoryzowanych poleceń na serwerze, co stwarza poważne zagrożenie dla bezpieczeństwa danych i systemu organizacji.

Rekomendacja

Zaleca się aktualizację Horde_Crypt do wersji 2.7.6 lub nowszej oraz wyłączenie funkcji automatycznej weryfikacji podpisów PGP, jeśli nie jest to konieczne.

Inne podatności w Horde_Crypt

CVE-2017-7413Wysokie
W Horde_Crypt przed wersją 2.7.6, używanym w Horde Groupware Webmail Edition do wersji 5.2.17, może wystąpić wstrzyknięcie poleceń systemowych, jeśli atakujący jest uwierzytelnionym użytkownikiem Horde Webmail, ma włączone funkcje PGP w swoich preferencjach i próbuje zaszyfrować e-mail skierowany na złośliwie skonstruowany adres e-mail.

Oryginalny opis (angielski, źródło NVD)

In Horde_Crypt before 2.7.6, as used in Horde Groupware Webmail Edition 5.x through 5.2.17, OS Command Injection can occur if the user has PGP features enabled in the user's preferences, and has enabled the "Should PGP signed messages be automatically verified when viewed?" preference. To exploit this vulnerability, an attacker can send a PGP signed email (that is maliciously crafted) to the Horde user, who then must either view or preview it.