include note about password security in security doc
authorkink <kink@7612ce4b-ef26-0410-bec9-ea0150e637f0>
Thu, 8 Jun 2006 15:53:54 +0000 (15:53 +0000)
committerkink <kink@7612ce4b-ef26-0410-bec9-ea0150e637f0>
Thu, 8 Jun 2006 15:53:54 +0000 (15:53 +0000)
git-svn-id: https://svn.code.sf.net/p/squirrelmail/code/trunk/squirrelmail@11186 7612ce4b-ef26-0410-bec9-ea0150e637f0

doc/security.txt

index fe20e6a..e6eff62 100644 (file)
@@ -23,6 +23,12 @@ further improve the security of your webmail system.
   IMAP server. Note that this makes no sense if both are on the same machine.
   See doc/authentication.txt for info.
 
+- config.php. Some options in conf.pl / config.php allow for passwords to
+  be set in that file, e.g. the addressbook/preferences DSN, and LDAP
+  addressbooks. When setting a sensitive password, check that config.php
+  is not readable for untrusted system users, and consider the possibility
+  of it being read by other users of the same webserver.
+
 - Subscribe to the squirrelmail-announce mailinglist to be informed about new
   releases which may fix security bugs. If you run SquirrelMail packaged by
   your distribution, make sure to apply their security upgrades.