FreeBSD:fetchmail -- STARTTLS のサービス拒否(f7d838f2-9039-11e0-a051-080027ef73ec)

medium Nessus プラグイン ID 54983

概要

リモート FreeBSD ホストには、セキュリティ関連の更新がありません。

説明

Matthias Andree による報告:

Fetchmail バージョン 5.9.9 では、POP3 用に STLS のサポートを導入し、バージョン 6.0.0 では、IMAP 用の STARTTLS を追加しました。ただし、実際の S(TART)TLS が開始した帯域内 SSL/TLS のネゴシエーションは、タイムアウトで保護されていませんでした。

TCP ストリームのキープアライブモードについてのオペレーティングシステムのデフォルトにもよりますが、ネットワークの故障またはサーバーの激しいクラッシュなどで接続が機能しなくなった場合に、オペレーティングシステムに知らせなければ、STARTTLS の送信後に 1 週間経過すると fetchmail のハングが観測されていました。

fetchmail の STARTTLS または STLS のリクエストを受け入れた後に、ネットワークレベルで応答しない悪意のあるサーバーは、このプロトコルで fetchmail を留めておくことができるため、fetchmail はポーリングを完了できない状態になるか、次のサーバーに進めることができない状態になり、サービス拒否をもたらすことになります。

専用ポートで SSL ラップモードは、この問題の影響を受けなかったため、回避策として使用することができます。

ソリューション

影響を受けるパッケージを更新してください。

参考資料

http://www.nessus.org/u?9961308c

http://www.fetchmail.info/fetchmail-SA-2011-01.txt

http://www.nessus.org/u?cd3a3c90

プラグインの詳細

深刻度: Medium

ID: 54983

ファイル名: freebsd_pkg_f7d838f2903911e0a051080027ef73ec.nasl

バージョン: 1.7

タイプ: local

公開日: 2011/6/7

更新日: 2021/1/6

サポートされているセンサー: Nessus

リスク情報

VPR

リスクファクター: Low

スコア: 3.4

CVSS v2

リスクファクター: Medium

基本値: 5

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P

脆弱性情報

CPE: p-cpe:/a:freebsd:freebsd:fetchmail, cpe:/o:freebsd:freebsd

必要な KB アイテム: Host/local_checks_enabled, Host/FreeBSD/release, Host/FreeBSD/pkg_info

パッチ公開日: 2011/6/6

脆弱性公開日: 2011/4/28

参照情報

CVE: CVE-2011-1947