「mail」コマンドの実装である Heirloom mailx に、以下の 2 件のセキュリティの脆弱性が発見されました：

- CVE-2004-2771 mailx が、特定のメールアドレスでシェルメタ文字を解釈します。

- CVE-2014-7844 mailx の予期しない機能により、構文的に有効なメールアドレスがシェルコマンドとして扱われ、実行されます。

「expandaddr」オプションを使用することで、シェルコマンド実行は再有効化できます。

ただし、このセキュリティ更新は、コマンド実行に対するすべての mailx 機能を削除するわけではありません。信頼されない情報源（Web フォームなど）から取得したアドレスに電子メールを送信するスクリプトは、その電子メールアドレスの前に「--」セパレータを使用するか（これは、この更新で正しく動作するように修正されています）、代わりに「invokemail -t」または「sendmail -i -t」に変更して、受信者アドレスをメールヘッダーの一部として渡すべきです。

検出

Debian DSA-3105-1：heirloom-mailx - セキュリティ更新

high Nessus プラグイン ID 80058

変更ログが見つかりません