Debian DSA-1852-1：fetchmail - 不十分な入力検証

medium Nessus プラグイン ID 44717

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

フル機能のリモートメールの取得および転送のユーティリティである fetchmail が、Blackhat 会議で最近発表された「SSL/TLS 証明書に対する NULL プレフィックス攻撃」に脆弱であることが判明しました。これにより、攻撃者は、subjectAltName フィールドまたは共通名フィールドに null バイトが注入されている細工された ITU-T X.509 証明書を通じて、検出されていない中間者攻撃を仕掛けることができます。

注意：fetchmail ユーザーは、次のオプションの組み合わせのいずれかを通じて、常に厳格な証明書検証を使用する必要があります：sslcertck ssl sslproto ssl3（SSL ラップのポートのサービス）または sslcertck sslproto tls1（STARTTLS ベースのサービス）

ソリューション

fetchmail パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（etch）では、この問題は、バージョン 6.3.6-1etch2 で修正済みです。

安定版（stable）ディストリビューション（lenny）では、この問題は、バージョン 6.3.9~rc2-4+lenny1 で修正済みです。