フル機能のリモートメールの取得および転送のユーティリティである fetchmail が、Blackhat 会議で最近発表された「SSL/TLS 証明書に対する NULL プレフィックス攻撃」に脆弱であることが判明しました。これにより、攻撃者は、subjectAltName フィールドまたは共通名フィールドに null バイトが注入されている細工された ITU-T X.509 証明書を通じて、検出されていない中間者攻撃を仕掛けることができます。

注意：fetchmail ユーザーは、次のオプションの組み合わせのいずれかを通じて、常に厳格な証明書検証を使用する必要があります：sslcertck ssl sslproto ssl3（SSL ラップのポートのサービス）または sslcertck sslproto tls1（STARTTLS ベースのサービス）

検出

Debian DSA-1852-1：fetchmail - 不十分な入力検証

medium Nessus プラグイン ID 44717

変更ログが見つかりません