Debian DSA-2318-1：cyrus-imapd-2.2 - 複数の脆弱性

high Nessus プラグイン ID 56409

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

エンタープライズ環境で使用するように設計されている、非常にスケーラブルなメールシステムである cyrus-imapd に、複数のセキュリティ問題が発見されました。Common Vulnerabilities and Exposuresプロジェクトは次の問題を特定しています：

- CVE-2011-3208 Coverity は、cyrus-imapd の NNTP サーバー実装（nttpd）のスタックベースのバッファオーバーフローを発見しました。攻撃者がこの欠陥を悪用して、複数の細工された NNTP コマンドを介して、任意のコードを実行する可能性があります。

- CVE-2011-3372 Secunia Research の Stefan Cornelius 氏は、cyrus-imapd の NNTP サーバー実装（nttpd）のコマンド処理が、特定のコマンドでアクセス制限を適切に実装しておらず、完全な成功する認証をチェックしていないことを発見しました。攻撃者がこの欠陥を利用して、一部のコマンドのアクセス制限をバイパスし、たとえば、適切な認証なしに CVE-2011-3208 を悪用する可能性があります。

ソリューション

cyrus-imapd-2.2 パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（lenny）では、この問題はバージョン2.2_2.2.13-14+lenny5で修正されました。

安定版（stable）ディストリビューション（squeeze）では、この問題はバージョン2.2_2.2.13-19+squeeze2で修正されました。