Amazon Linux 2: mutt (ALAS-2022-1892)

medium Nessus プラグイン ID 168438

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている mutt のバージョンは、1.5.21-29より前です。したがって、ALAS2-2022-1892 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- 1.14.3より前の Mutt では、PREAUTH 応答を介した IMAP fcc/postpone の中間者攻撃が発生する可能性があります。
(CVE-2020-14093)

- 1.14.3より前の Mutt は、GnuTLS 証明書プロンプトへの応答として、ユーザーが期限切れの中間証明書を拒否した場合でも、接続を続行します。(CVE-2020-14154)

- 1.14.4より前の Mutt および 2020 年 6 月 19 日より前の NeoMutt には、IMAP、SMTP、および POP3 に影響する STARTTLS バッファリングの問題があります。サーバーが begin TLS 応答を送信すると、クライアントは追加のデータを (中間干渉攻撃者などから) 読み取り、TLS コンテキストで評価します (応答インジェクション)。(CVE-2020-14954)

2.0.2より前のMuttおよび2020-11-20より前のNeoMuttは、IMAPサーバーの最初のサーバー応答が無効なとき、$ssl_force_tlsが処理されるようにしませんでした。接続が適切に閉じられなかったため、コードが認証を試行し続ける可能性があります。このため、認証情報が暗号化されていない接続または中間マシンに漏洩する可能性があります。(CVE-2020-28896)

- リモートの攻撃者が2.0.4までのMuttのrfc822.cを使用してRFC822アドレスフィールドにセミコロンの文字列を含むメールメッセージ (別名:空のグループの終端子) を送信し、サービス拒否 (メールボックスを使用できない) を引き起こす可能性があります。攻撃者からの小さなメールメッセージによって大量のメモリが消費され、被害者が他の人からのメールメッセージを表示できなくなる可能性があります。(CVE-2021-3181)

- 0.94.13から 2.2.3より前のすべてのバージョンに影響する Mutt の uudecoder のバッファオーバーフローにより、入力行の終端を超えた読み取りが可能です。(CVE-2022-1328)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。