パッケージは、CVE-2012-3482 を修正する最新 Upstream バージョンに更新されます。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

fetchmail に複数の脆弱性が見つかり、修正されました：

Fetchmail バージョン 6.3.9 は、初期化ベクトルの推測を許すブロック暗号に対する特定の攻撃に対する対策を無効にするスイッチを含むすべての SSL 回避策（SSL_OP_ALL）を有効にしました。これにより、攻撃者が自分のためにアプリケーション（fetchmail）に一部のデータを暗号化させることが可能です。ただし、これは簡単に実現できるものではありません（BEAST 攻撃）（CVE-2011-3389）。

リモートのメール取得および転送ユーティリティである Fetchmail が特定の NTLM サーバー応答の base64 デコーディングを実行する方法に、サービス拒否の欠陥が見つかりました。NTLM 認証リクエストの送信時、Fetchmail は受信した応答が実際に NTLM プロトコル交換の一部か、またはサーバー側のエラーメッセージとセッションの中止かをチェックしませんでした。不正な NTML サーバーがこの欠陥を利用して、fetchmail の実行可能ファイルをクラッシュさせることが可能です（CVE-2012-3482）。

このアドバイザリでは、この問題に対して脆弱性がない最新バージョンの fetchmail（6.3.22）が提供されます。

リモートの Solaris システムに、次のセキュリティの更新に対処するのに必要なパッチがありません：

- Microsoft Windows、Microsoft Internet Explorer、 Mozilla Firefox、Google Chrome、Opera などの製品で、ある特定の構成で使用されているように、SSL プロトコルは、連鎖的な初期化ベクトルがある CBC モードを使用して、データを暗号化します。これにより、中間者攻撃者は、 (1) HTML5 WebSocket API、(2) Java URLConnection API、または (3) Silverlight WebClient API を使用している JavaScript コード（別名「BEAST」攻撃）を併用し、HTTPS セッションでの blockwise chosen-boundary 攻撃（BCBA）を通じて、平文の HTTP ヘッダーを入手することができます。(CVE-2011-3389)

- fetchmail 5.0.8 から 6.3.21 まででは、デバッグモードで NTLM 認証を使用したとき、リモートの NTLM サーバーが、(1) base64 デコーダーで領域外読み取りを発生させる細工された NTLM 応答を通じてサービス拒否（クラッシュとインバウンドメールの到達遅延）を引き起こしたり、(2) 領域外読み取りを発生させる、細工された Target Name 構造を持つ NTLM Type 2 メッセージを通じて、メモリから機密情報を取得したりすることが可能です。
 (CVE-2012-3482)

fetchmail 5.0.8 から 6.3.21 では、デバッグモードで NTLM 認証を使用したとき、リモートの NTLM サーバーが、（1）base64 デコーダーで領域外読み取りを発生させる細工された NTLM 応答を介して、サービス拒否（クラッシュとインバウンドメールの到達遅延）を引き起こしたり、（2）領域外読み取りを発生させる細工された Target Name 構造を持つ NTLM Type 2 メッセージを介して、メモリから機密情報を取得することが可能です。

Matthias Andree による報告：

NTLM サポートが有効な状態で、NTLM プロトコルによるプロトコルデータの交換中に、fetchmail がサーバー側のエラーメッセージを誤認し、SIGSEGV を引き起こす可能性があります。

また、注意深く細工された NTLM チャレンジを使用する悪意のあるサーバーによって、fetchmail が不適切なメモリロケーションから読み取りを行い、機密データが漏洩する可能性があります。他のアカウントのデータを盗むことは不可能ではありませんが、困難であると見なされています。

fetchmail 用のこの更新では、次の問題を修正しています：

- CVE-2012-3482：サーバーの NTLM プロトコル交換を処理する際の base64 デコーダーのサービス拒否の脆弱性が修正されました（bsc#775988）。

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
62399	Fedora 16：fetchmail-6.3.22-1.fc16（2012-14462）	Nessus	Fedora Local Security Checks	2012/10/3	2021/1/11	medium
61992	Mandriva Linux セキュリティアドバイザリ：fetchmail（MDVSA-2012:149）	Nessus	Mandriva Local Security Checks	2012/9/6	2022/12/5	medium
66051	Mandriva Linux セキュリティアドバイザリ：fetchmail（MDVSA-2013:037）	Nessus	Mandriva Local Security Checks	2013/4/20	2022/12/5	medium
80605	Oracle Solaris サードパーティパッチ更新：fetchmail（multiple_vulnerabilities_in_fetchmail）（BEAST）	Nessus	Solaris Local Security Checks	2015/1/19	2022/12/5	medium
62398	Fedora 17：fetchmail-6.3.22-1.fc17（2012-14451）	Nessus	Fedora Local Security Checks	2012/10/3	2021/1/11	medium
69622	Amazon Linux AMI：fetchmail（ALAS-2012-132）	Nessus	Amazon Linux Local Security Checks	2013/9/4	2018/4/18	medium
61539	FreeBSD：fetchmail -- NTLM 認証の 2 つの脆弱性（83f9e943-e664-11e1-a66d-080027ef73ec）	Nessus	FreeBSD Local Security Checks	2012/8/15	2021/1/6	medium
90185	SUSE SLED11/SLES11 セキュリティ更新：fetchmail（SUSE-SU-2016:0872-1）	Nessus	SuSE Local Security Checks	2016/3/25	2021/1/6	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium