IMAP/SMTP Injection in Hastymail
Vulnerabilidad de inyección de comandos IMAP/SMTP en el cliente de webmail Hastymail.
Background
Hastymail es un cliente de webmail IMAP escrito en PHP, diseñado para ser rápido, compatible con los RFC, sencillo y seguro. No es un software de groupware: se centra en ser un cliente de correo funcional y ágil.
Description
Hastymail no valida adecuadamente los comandos e información que envía a los servidores de correo durante su uso normal, por ejemplo al acceder al buzón. Un usuario autenticado malicioso puede inyectar comandos IMAP/SMTP arbitrarios a través de los parámetros que usa el front-end en su comunicación con esos servidores, evadir las restricciones de la aplicación y explotar vulnerabilidades de los servidores de correo.
Business impact
La inyección permite explotar vulnerabilidades de los servidores IMAP/SMTP y evadir todas las restricciones de la capa de aplicación.
Systems affected
Probado en la última versión de desarrollo (1.5, del 17 de febrero de 2006) y en la última estable (1.0.2, del 23 de agosto de 2004). Posiblemente están afectadas todas las versiones.
Solution
Aplicar el parche publicado en la sección de seguridad del proyecto.
Disclosure timeline
References
The information contained within this advisory is supplied 'as-is' with no warranties or guarantees of fitness of use or otherwise. Internet Security Auditors accepts no responsibility for any damage caused by the use or misuse of this information.
Compañía con sede en España y Colombia, especializada en auditoría de aplicaciones web, seguridad de red, test de intrusión e implantación y evaluación de cumplimiento. Nuestros clientes incluyen algunas de las mayores compañías de finanzas, telecomunicaciones, seguros y TIC. Proveedor independiente de fabricante, con experiencia profunda desde 2001. Nuestro esfuerzo en I+D incluye investigación de vulnerabilidades, colaboración en proyectos abiertos de seguridad, whitepapers y participación en eventos del sector.
¿Quieres que revisemos tu producto?
Contacta con nosotros¿Necesitas una auditoría de seguridad?
Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.