Debian DSA-2805-1：sup-mail - コマンドインジェクション

medium Nessus プラグイン ID 71118

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Phenoelit の joernchen は、コンソールベースの電子メールクライアントである Sup で、2 つのコマンドインジェクションの欠陥を発見しました。悪意をもって細工された電子メールをユーザーが開くと、攻撃者が任意のコマンドを実行する可能性があります。

- CVE-2013-4478 Sup が、添付ファイルのファイル名を不適切に処理しました。

- CVE-2013-4479 Sup が、添付ファイルの content-type をサニタイズしませんでした。

ソリューション

sup-mail パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（squeeze）では、これらの問題はバージョン 0.11-2+nmu1+deb6u1 で修正されています。

安定版（stable）ディストリビューション（wheezy）では、これらの問題はバージョン 0.12.1+git20120407.aaa852f-1+deb7u1 で修正されています。