CentOS Linux 6ホストには、TuxCare CENTOS6:CLSA-2026:1777548877アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 3.4.2 より前の Apache SpamAssassin に存在するサービス拒否の脆弱性が特定されました。この脆弱性は、マークアップが不適切に処理される電子メールの特定の閉じられていないタグで発生し、スキャンタイムアウトを引き起こします。Apache SpamAssassin では、HTML::P arser を使用してオブジェクトを設定し、begin タグと end タグのイベントハンドラーにフックします。どちらの場合も、解析中の HTML でタグが「閉じない」場合でも、open イベントの直後に close イベントが続きます。このため、オブジェクトを通常処理するためのテキストイベントがありません。これにより、巧妙に細工されたメールが送信され、予想よりもスキャン時間が長くかかり、サービス拒否が発生する可能性があります。この問題は、特に Apache SpamAssassin が形式の良くない html のあるモジュールを使用する方法に影響を与える、HTML::P arser のバグまたはデザイン上の決定である可能性があります。この悪用は野放しで確認されていますが、意図的にサービス拒否の試みの一部であったとは考えられていません。今後、この脆弱性を悪用する試みがある可能性があることを懸念しています。(CVE-2017-15705)

  - Apache SpamAssassin 3.4.2 は、メタルール構文でのローカルユーザーコードのインジェクションを修正します。(CVE-2018-11781)

  - 3.4.3より前のApache SpamAssassinで、極悪なCFファイルが構成されて、出力やエラーなしにシステムコマンドを実行する可能性があります。複数のシナリオでこれが悪用される可能性があります。SA 3.4.3にアップグレードするほか、信頼できる場所からの更新チャネルまたはサードパーティの.cfファイルのみを使用することを推奨します。 (CVE-2018-11805 )

  - 3.4.3以前のApache SpamAssassinで、過剰なリソースを使用するようにメッセージが細工される可能性があります。
    できるだけ早くSA 3.4.3にアップグレードすることが推奨される対策ですが、詳細は明らかにされません。
    (CVE-2019-12420)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

CentOS Linux 6 [TuxCare] セキュリティ更新プログラム:spamassassinの複数の脆弱性(CENTOS6:CLSA-2026:1777548877)

high Nessus プラグイン ID 359563

変更ログが見つかりません