Bulletin d'alerte Debian

DSA-071-1 fetchmail -- Corruption mémoire

Date du rapport:

10 août 2001

Paquets concernés:

Vulnérabilité:

Oui

Références dans la base de données de sécurité:

Dans la base de données de suivi des bogues (chez SecurityFocus) : Identificateur BugTraq 3164, Identificateur BugTraq 3166.
Dans le dictionnaire CVE du Mitre : CVE-2001-1009.

Pour plus d'information:

Salvatore Sanfilippo a trouvé deux problèmes exploitables à distance dans fetchmail en faisant un audit de sécurité. Dans le code IMAP et celui POP3, l'entrée n'est pas vérifiée même si c'est pour enregistrer un nombre dans un tableau. Étant donné qu'aucune vérification de limite est faite, ceci peut être utilisé par un attaquant pour écrire n'importe quelle donnée en mémoire. Un attaquant peut utiliser ceci si un serveur IMAP ou POP3 qu'il contrôle transporte le courrier d'un utilisateur.

Ceci a été corrigé dans la version 5.3.3-3, nous vous recommandons de mettre à jour vos paquets fetchmail immédiatement.

Corrigé dans:

Debian GNU/Linux 2.2 (potato)

Source :: http://security.debian.org/dists/stable/updates/main/source/fetchmail_5.3.3-3.diff.gz; http://security.debian.org/dists/stable/updates/main/source/fetchmail_5.3.3-3.dsc; http://security.debian.org/dists/stable/updates/main/source/fetchmail_5.3.3.orig.tar.gz
Composant indépendant de l'architecture :: http://security.debian.org/dists/stable/updates/main/binary-all/fetchmailconf_5.3.3-3_all.deb
Alpha:: http://security.debian.org/dists/stable/updates/main/binary-alpha/fetchmail_5.3.3-3_alpha.deb
ARM:: http://security.debian.org/dists/stable/updates/main/binary-arm/fetchmail_5.3.3-3_arm.deb
Intel IA-32:: http://security.debian.org/dists/stable/updates/main/binary-i386/fetchmail_5.3.3-3_i386.deb
Motorola 680x0:: http://security.debian.org/dists/stable/updates/main/binary-m68k/fetchmail_5.3.3-3_m68k.deb
PowerPC:: http://security.debian.org/dists/stable/updates/main/binary-powerpc/fetchmail_5.3.3-3_powerpc.deb
Sun Sparc:: http://security.debian.org/dists/stable/updates/main/binary-sparc/fetchmail_5.3.3-3_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.