Debian DSA-2233-1：postfix - いくつかの脆弱性

medium Nessus プラグイン ID 53860

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

メール転送エージェントである Postfix に、いくつかの脆弱性が発見されました。Common Vulnerabilities and Exposuresプロジェクトは次の問題を特定しています：

- CVE-2009-2939 postinst スクリプトが postfix ユーザーに /var/spool/postfix/pid に対する書き込みアクセス権を付与します。これにより、ローカルユーザーがシンボリックリンク攻撃を実行し、任意のファイルを上書きする可能性があります。

- CVE-2011-0411 STARTTLS の実装が、I/O バッファリングを適切に制限しません。これにより、中間攻撃者が、TLS が配置された後に処理される平文コマンドを送信することで、暗号化された SMTP セッションにコマンドを挿入する可能性があります。

- CVE-2011-1720 ヒープベースの読み取り専用のバッファオーバーフローにより、悪意のあるクライアントが、細工された SASL 認証リクエストを使用して smtpd サーバープロセスをクラッシュさせる可能性があります。

ソリューション

postfix パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（lenny）では、この問題はバージョン2.5.5-1.1+lenny1で修正されています。

安定版（stable）ディストリビューション（squeeze）では、この問題はバージョン2.7.1-1+squeeze1で修正されました。