Debian DSA-3091-1：getmail4 - セキュリティ更新

medium Nessus プラグイン ID 79805

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

POP3、IMAP4 および SDPS をサポートするメールレトリーバーである getmail4 に、複数の脆弱性が発見されています。これにより、中間者攻撃が可能です。

- CVE-2014-7273 getmail 4.0.0 から 4.43.0 までの IMAP-over-SSL 実装は、SSL サーバーからの X.509 証明書を検証しません。これにより、中間者攻撃の攻撃者が、細工された証明書を介して、IMAP サーバーを偽装したり、機密情報を取得したりする可能性があります。

- CVE-2014-7274 getmail 4.44.0 の IMAP-over-SSL 実装は、サーバーのホスト名が X.509 証明書の件名の Common Name（CN）フィールドのドメイン名と一致することを検証しません。これにより、中間者攻撃の攻撃者が、認識されている証明機関からの細工された証明書を通じて、IMAP サーバーを偽装したり、機密情報を取得したりする可能性があります。

- CVE-2014-7275 getmail 4.0.0 から 4.44.0 までの POP3-over-SSL 実装は、SSL サーバーからの X.509 証明書を検証しません。これにより、中間者攻撃の攻撃者が、細工された証明書を通じて、POP3 サーバーを偽装したり、機密情報を取得したりする可能性があります。

ソリューション

getmail4 パッケージをアップグレードしてください。

安定版（stable）ディストリビューション（wheezy）では、これらの問題はバージョン 4.46.0-1+deb7u1 で修正されています。

将来の安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 4.46.0-1 で修正されています。