POP3、IMAP4 および SDPS をサポートするメールレトリーバーである getmail4 に、複数の脆弱性が発見されています。これにより、中間者攻撃が可能です。

CVE-2014-7273

getmail 4.0.0 から 4.43.0 までの IMAP-over-SSL 実装は、SSL サーバーからの X.509 証明書を検証しません。これにより、中間攻撃者が、細工された証明書を通じて、IMAP サーバーを偽装したり、機密情報を取得したりする可能性があります。

CVE-2014-7274

getmail 4.44.0 の IMAP-over-SSL 実装は、サーバーのホスト名が X.509 証明書の件名の Common Name（CN）フィールドのドメイン名と一致することを検証しません。これにより、中間攻撃者が、認識されている証明機関からの細工された証明書を通じて、IMAP サーバーを偽装したり、機密情報を取得したりする可能性があります。

CVE-2014-7275

getmail 4.0.0 から 4.44.0 までの POP3-over-SSL 実装は、SSL サーバーからの X.509 証明書を検証しません。これにより、中間攻撃者が、細工された証明書を通じて、POP3 サーバーを偽装したり、機密情報を取得したりする可能性があります。

squeeze ディストリビューションでは、これらの問題は新しい Upstream バージョン 4.46.0-1~deb6u1 をインポートすることで修正されました。この更新済みパッケージは、Osamu Aoki 氏によって用意されました。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

検出

Debian DLA-106-1：getmail4 のセキュリティ更新

medium Nessus プラグイン ID 82090

変更ログが見つかりません