CentOS Linux 6 [TuxCare] セキュリティ更新プログラム:spamassassinの複数の脆弱性(CENTOS6:CLSA-2025:1758796775)

high Nessus プラグイン ID 361775

Language:

概要

CentOS Linuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

CentOS Linux 6ホストには、TuxCare CENTOS6:CLSA-2025:1758796775アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

3.4.3より前のApache SpamAssassinにコマンド実行の問題が見つかりました。慎重に細工された悪意のあるルール構成 (.cf ) ファイルが、CVE-2018-11805と同様にシステムコマンドを実行するように構成される可能性があります。パッチが適用されていないこのバグにより、spamdの実行と同じ権限を含む多数のシナリオで悪用がなされる可能性があります。権限は昇格される可能性がありますが、リモートで行うことは困難です。SA 3.4.4にアップグレードするほか、信頼できる場所からの更新チャネルまたはサードパーティの.cfファイルのみを使用することを推奨します。アップグレードできない場合、サードパーティのルールセットを使用したりsa-compileを使用したりせず、昇格された権限を持つアカウントとしてspamdを実行しないでください。 (CVE-2020-1930 )

3.4.3より前のApache SpamAssassinにコマンド実行の問題が見つかりました。慎重に細工された悪意のある構成 (.cf ) ファイルが、CVE-2018-11805と同様にシステムコマンドを実行するように構成される可能性があります。この問題のステルス性は低く、この問題を悪用しようとすると警告がスローされます。問題を論理的に報告してくれたcredativのDamian Lukowski氏に感謝します。パッチが適用されていないこのバグにより、多数のシナリオで悪用がなされる可能性ありますが、リモートで行うことは困難です。SA 3.4.4にアップグレードするほか、信頼できる場所からの更新チャネルまたはサードパーティの.cfファイルのみを使用することを推奨します。
(CVE-2020-1931)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。