Cross-Site Scripting-Schwachstelle in Novell GroupWise

IT-Security Consultant Dr. Adrian Vollmer hat eine Cross-Site Scripting-Schwachstelle in Novell GroupWise entdeckt. 

E-Mails, die HTML enthalten, können immer auch potenziell bösartigen JavaScript-Code enthalten. Der E-Mail-Client, mit dem Benutzer ihre E-Mails lesen, muss dafür sorgen, dass in E-Mails enthaltener Code niemals zur Ausführung kommt.

In verwundbaren Versionen von Novell GroupWise ist diese Funktion fehlerhaft, sodass Benutzer, die ihre E-Mails mit dem zugehörigen Webinterface lesen, zum Opfer von Schadcode fallen können.

So könnte ein Angreifer beispielsweise E-Mails verschicken, die beim Öffnen der E-Mail unbemerkt eine Weiterleitung auf beliebige Adressen im E-Mail-Konto des Opfers einrichtet. Daneben sind viele weitere bösartige Aktionen denkbar, die die Privatsphäre von Novell GroupWise-Nutzern massiv verletzen könnten. 

Ausführliche Informationen zu der Schwachstelle finden Sie in unserem Security Advisory SYSS-2015-021.