Bulletin d'alerte Debian

DSA-071-1 fetchmail -- Corruption mémoire

Date du rapport :
10 août 2001
Paquets concernés :
fetchmail
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans la base de données de suivi des bogues (chez SecurityFocus) : Identifiant BugTraq 3164, Identifiant BugTraq 3166.
Dans le dictionnaire CVE du Mitre : CVE-2001-1009.
Plus de précisions :
Salvatore Sanfilippo a trouvé deux problèmes exploitables à distance dans fetchmail en faisant un audit de sécurité. Dans le code IMAP et celui POP3, l'entrée n'est pas vérifiée même si c'est pour enregistrer un nombre dans un tableau. Étant donné qu'aucune vérification de limite est faite, ceci peut être utilisé par un attaquant pour écrire n'importe quelle donnée en mémoire. Un attaquant peut utiliser ceci si un serveur IMAP ou POP3 qu'il contrôle transporte le courrier d'un utilisateur.

Ceci a été corrigé dans la version 5.3.3-3, nous vous recommandons de mettre à jour vos paquets fetchmail immédiatement.

Corrigé dans :

Debian GNU/Linux 2.2 (potato)

Source :
http://security.debian.org/dists/stable/updates/main/source/fetchmail_5.3.3-3.diff.gz
http://security.debian.org/dists/stable/updates/main/source/fetchmail_5.3.3-3.dsc
http://security.debian.org/dists/stable/updates/main/source/fetchmail_5.3.3.orig.tar.gz
Composant indépendant de l'architecture :
http://security.debian.org/dists/stable/updates/main/binary-all/fetchmailconf_5.3.3-3_all.deb
Alpha:
http://security.debian.org/dists/stable/updates/main/binary-alpha/fetchmail_5.3.3-3_alpha.deb
ARM:
http://security.debian.org/dists/stable/updates/main/binary-arm/fetchmail_5.3.3-3_arm.deb
Intel IA-32:
http://security.debian.org/dists/stable/updates/main/binary-i386/fetchmail_5.3.3-3_i386.deb
Motorola 680x0:
http://security.debian.org/dists/stable/updates/main/binary-m68k/fetchmail_5.3.3-3_m68k.deb
PowerPC:
http://security.debian.org/dists/stable/updates/main/binary-powerpc/fetchmail_5.3.3-3_powerpc.deb
Sun Sparc:
http://security.debian.org/dists/stable/updates/main/binary-sparc/fetchmail_5.3.3-3_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.