Ubuntu 20.04 LTS：netqmailの脆弱性（USN-4556-1）

critical Nessus プラグイン ID 141054

Language:

概要

リモートUbuntuホストに1つ以上のセキュリティ更新がありません。

説明

リモートのUbuntu 20.04 LTSホストには、USN-4556-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- qmailのstralloc_readyplus関数の整数オーバーフローにより、大量の仮想メモリを搭載した64ビットプラットフォームで実行している場合、リモートの攻撃者がサービス拒否を引き起こしたり、大きなSMTPリクエストを介して任意のコードを実行したりする可能性があります。（CVE-2005-1513）

- qmailのcommands.cにより、大量の仮想メモリを搭載した64ビットプラットフォームで実行している場合、リモートの攻撃者がサービス拒否を引き起こしたり、スペース文字のない長いSMTPコマンドにより任意のコードを実行する可能性があります。これにより、配列が負のインデックスで参照される可能性があります。（CVE-2005-1514）

- qmailのqmail_putおよびsubstdio_put関数の整数符号エラーにより、大量の仮想メモリを搭載した64ビットプラットフォームで実行している場合、リモートの攻撃者がサービス拒否を引き起こしたり、大量のSMTP RCPT TOコマンドを介して任意のコードを実行したりする可能性があります。（CVE-2005-1515）

- netqmail 1.06で使用されるqmail-verifyは、メールアドレス検証バイパスの脆弱性の影響を受けやすくなっています。
（CVE-2020-3811）

- netqmail 1.06で使用されるqmail-verifyは、情報漏洩の脆弱性の影響を受けやすくなっています。qmail-verifyがrootとして実行され、権限をドロップすることなく、攻撃者のホームディレクトリにファイルが存在するかどうかをテストするため、ローカルの攻撃者は、ファイルシステム内にあればどこであってもファイルやディレクトリの存在をテストできます。（CVE-2020-3812）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

影響を受けるqmailおよび/またはqmail-uids-gidsパッケージを更新してください。

参考資料

https://ubuntu.com/security/notices/USN-4556-1

プラグインの詳細

深刻度: Critical

ID: 141054

ファイル名: ubuntu_USN-4556-1.nasl

バージョン: 1.5

タイプ: local

エージェント: unix

ファミリー: Ubuntu Local Security Checks

公開日: 2020/9/30

更新日: 2024/2/16

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus