The Vigil@nce team watches public vulnerabilities impacting your computers, and then offers security solutions, a database and tools to fix them.

Computer vulnerabilities of MHonArc

vulnerability announce 14632

MHonArc: Cross Site Scripting of Commentize

Synthesis of the vulnerability

An attacker can trigger a Cross Site Scripting via a comment of MHonArc, in order to execute JavaScript code in the context of the web site.
Impacted products: MHonArc.
Severity: 2/4.
Consequences: client access/rights.
Provenance: document.
Creation date: 23/04/2014.
Identifiers: VIGILANCE-VUL-14632.

Description of the vulnerability

The MHonArc product uses a web service to display emails.

The commentize() function of the lib/ewhutil.pl file converts special characters, before injecting them in an HTML comment. However, the '<' character is not filtered.

An attacker can therefore trigger a Cross Site Scripting via a comment of MHonArc, in order to execute JavaScript code in the context of the web site.
Full Vigil@nce bulletin... (Free trial)

computer vulnerability note CVE-2010-1677

MHonArc: denial of service

Synthesis of the vulnerability

An attacker can send a malformed HTML email, which is not correctly decoded by MHonArc, and overloads the processor.
Impacted products: Fedora, Mandriva Linux, MHonArc.
Severity: 1/4.
Consequences: denial of service on service.
Provenance: document.
Creation date: 03/01/2011.
Identifiers: 32014, CVE-2010-1677, FEDORA-2011-3357, FEDORA-2011-3390, MDVSA-2011:003, VIGILANCE-VUL-10239.

Description of the vulnerability

The MHonArc program converts emails to HTML pages, which can then be displayed on a web server.

However, if HTML elements of an email are nested several times, MHonArc consumes a lot of resources to extract them.

An attacker can therefore send a malformed HTML email, which is not correctly decoded by MHonArc, and overloads the processor.

This vulnerability is a variant of VIGILANCE-VUL-10231.
Full Vigil@nce bulletin... (Free trial)

vulnerability alert CVE-2010-4524

MHonArc: Cross Site Scripting

Synthesis of the vulnerability

An attacker can send a malformed HTML email, which is not correctly filtered by MHonArc, and creates a Cross Site Scripting.
Impacted products: Fedora, Mandriva Linux, MHonArc, Unix (platform) ~ not comprehensive.
Severity: 2/4.
Consequences: client access/rights.
Provenance: document.
Creation date: 21/12/2010.
Identifiers: BID-45528, CVE-2010-4524, FEDORA-2011-3357, FEDORA-2011-3390, MDVSA-2011:003, VIGILANCE-VUL-10231.

Description of the vulnerability

The MHonArc program converts emails to HTML pages, which can then be displayed on a web server.

This program filters the JavaScript code contained in HTML emails. However, if an HTML element is inserted inside another element, the outer HTML element is not filtered. This second element is then displayed by the web server.

An attacker can therefore send a malformed HTML email, which is not correctly filtered by MHonArc, and creates a Cross Site Scripting.
Full Vigil@nce bulletin... (Free trial)

vulnerability bulletin 3433

Cross Site Scripting de MHonArc

Synthesis of the vulnerability

En utilisant un email illicite, un attaquant distant peut mener une attaque de type Cross Site Scripting sur MHonArc.
Impacted products: MHonArc.
Severity: 2/4.
Consequences: administrator access/rights.
Provenance: document.
Creation date: 07/04/2003.
Identifiers: V6-UNIXMHONARCXSS, VIGILANCE-VUL-3433.

Description of the vulnerability

Le programme MHonArc publie les archives de listes de diffusion au format HTML.

Lorsqu'un email contient du code pouvant être interprété comme du Javascript ou une directive SSI, MHonArc doit le filtrer.

Cependant, quatre cas particuliers de syntaxe ne sont pas correctement traités.

Un attaquant distant peut créer un e-mail malicieux et l'envoyer à destination d'une mailing-list. Le code sera alors inclus par MHonArc dans la page html. Puis, lorsqu'un utilisateur consultera cette page, le script sera exécuté.
Full Vigil@nce bulletin... (Free trial)

vulnerability note CVE-2002-1388

Cross Site Scripting de MHonArc par des contenus html

Synthesis of the vulnerability

En utilisant des e-mails mal formés, un attaquant distant peut mener une attaque par Cross Site Scripting de MHonArc.
Impacted products: Debian, MHonArc.
Severity: 2/4.
Consequences: client access/rights.
Provenance: document.
Creation date: 31/12/2002.
Revision date: 06/01/2003.
Identifiers: BID-6479, CVE-2002-1388, DSA-221, DSA-221-1, V6-UNIXMHONARCTXTHTMLXSS, VIGILANCE-VUL-3244.

Description of the vulnerability

Le programme MHonArc permet de publier les archives des listes de diffusion en format html.
 
Les messages email possèdent des entêtes décrivant le message :
  To: destinataire
  From: expéditeur
  Date: date
  Content-type: type des données
  etc.
 
Une faille a été découverte dans le filtre m2h_text_html. En effet, des e-mail mal formés peuvent contourner la politique de filtrage de MHonArc. Les détails techniques permettant la mise en oeuvre de cette vulnérabilité ne sont pas actuellement connus.

Un attaquant distant peut créer un e-mail malicieux et l'envoyer à destination d'une mailing-list. Le code sera alors inclus par MHonArc dans la page html. Puis, lorsqu'un utilisateur consultera cette page, le script sera exécuté.
 
L'attaquant peut ainsi faire exécuter du code malicieux sur des pages html appartenant à des sites web de confiance.
Full Vigil@nce bulletin... (Free trial)

vulnerability note CVE-2002-1307

Cross Site Scripting de MHonArc

Synthesis of the vulnerability

En utilisant des entêtes spéciales, un attaquant distant peut provoquer une attaque de type Cross Site Scripting dans MHonArc.
Impacted products: Debian, MHonArc.
Severity: 2/4.
Consequences: client access/rights.
Provenance: document.
Creation date: 20/11/2002.
Identifiers: BID-6204, CERTA-2010-AVI-080, CVE-2002-1307, DSA-199, DSA-199-1, V6-UNIXMHONARCHEADERXSS, VIGILANCE-VUL-3144.

Description of the vulnerability

Le programme MHonArc permet de publier les archives des listes de diffusion en format html.

Les messages email possèdent des entêtes décrivant le message :
  To: destinataire
  From: expéditeur
  Date: date
  etc.

L'administrateur peut configurer MHonArc afin de n'inclure que les entêtes principaux dans les messages (From, To, Subject), ou décider d'afficher tous les entêtes en début de page HTML.

Le programme MHonArc ne purge pas le code script contenu dans les entêtes non reconnus.

Un attaquant distant peut ainsi créer un email possédant un entête non standard et l'envoyer à destination d'une mailing-list. Le code sera alors inclus par MHonArc dans la page html. Lorsqu'un utilisateur consultera cette page par le biais de son navigateur, le script sera exécuté.

L'attaquant peut ainsi faire exécuter du code malicieux sur des pages html appartenant à des sites web de confiance.
Full Vigil@nce bulletin... (Free trial)

vulnerability CVE-2002-0738

Contournement des règles de Mhonarc

Synthesis of the vulnerability

En concevant des e-mails malicieux, un attaquant distant peut faire relayer des scripts par le programme Mhonarc.
Impacted products: Debian, MHonArc.
Severity: 2/4.
Consequences: data creation/edition.
Provenance: internet server.
Creation date: 19/04/2002.
Revision date: 10/09/2002.
Identifiers: BID-4546, CERTA-2002-AVI-206, CVE-2002-0738, DSA-163, DSA-163-1, V6-UNIXMHONARCSCRIPTBYPAS, VIGILANCE-VUL-2490.

Description of the vulnerability

Le programme MHonArc permet de publier les archives des listes de diffusion en format html. Une de ses fonctionnalités, lui permet de "purger" automatiquement du code javascript pouvant être malicieusement inséré dans un e-mail. Par exemple, un e-mail peut contenir le code html suivant:
  </HTML>
    HELLO
    <SCRIPT>
      Ici un script malicieux
    </SCRIPT>
  </HTML>

Le script sera purgé par le programme puis convertit au format html:
  </HTML>
    HELLO
  </HTML>

Cependant une faille a été découverte dans Mhonarc. En effet, lorsqu'un script est purgé, mhonarc n'effectue pas une seconde vérification sur le contenu du fichier ainsi obtenu, celui-ci est directement convertit au format html.

Un attaquant distant peut envoyer un e-mail malicieux à destination d'une mailing-list et lors de la conversion par Mhonarc, le code malicieux sera inséré dans une page html. Lorsqu'un utilisateur consultera cette page par le biais de son navigateur, le script sera exécuté.

L'attaquant peut ainsi faire exécuter du code malicieux sur des pages html appartenant à des sites web de confiance.
Full Vigil@nce bulletin... (Free trial)
Our database contains other pages. You can request a free trial to read them.

Display information about MHonArc: