Scientific Linux セキュリティ更新：SL3.x、SL4.x、SL5.x i386/x86_64 の fetchmail

medium Nessus プラグイン ID 60662

Language:

概要

リモート Scientific Linux ホストに、セキュリティ更新がありません。

説明

CVE-2007-4565 Fetchmail の NULL ポインターデリファレンス

CVE-2008-2711 fetchmail：冗長モードでの大きなログメッセージのクラッシュ

CVE-2009-2666 fetchmail：SSL の NULL 終端子のバイパス

fetchmail が以前公開された「null プレフィックス攻撃」の影響を受けたため、 X.509 証明書の NULL 文字が正しく処理されないことがわかりました。攻撃者が、信頼する認証局による署名がある注意深く細工された証明書を取得できた場合、中間者攻撃の最中にこの証明書を使用し、 fetchmail を混乱させて誤ってこれを受け入れさせる可能性があります。（CVE-2009-2666）

警告メールを postmaster に送信する際に fetchmail がリモートの SMTP サーバーからの拒否を処理する方法で、欠陥が見つかりました。fetchmail が SMTP サーバーの postmaster に警告メールを送信し、その SMTP サーバーがこれを拒否した場合、 fetchmail がクラッシュする可能性があります。（CVE-2007-4565）

fetchmail に欠陥が見つかりました。fetchmail が二重 verbose モード (「-v -v」) で実行されている場合、長いヘッダーのある特定の無効な形式のメールメッセージを受信したときにクラッシュする可能性があります。リモートの攻撃者が、この欠陥を利用して、 fetchmail がデーモンモード (「-d」) でも実行されている場合に、サービス拒否を引き起こすことが可能です。（CVE-2008-2711）

fetchmail がデーモンモードで実行されている場合、この更新を有効にするには、fetchmail を再起動する必要があります（「fetchmail --quit」コマンドを使用して、fetchmail のプロセスを停止する）。