Debian-Sicherheitsankündigung

DSA-363-1 postfix -- Denial of Service, Bounce-Scanning

Datum des Berichts:
03. Aug 2003
Betroffene Pakete:
postfix
Verwundbar:
Ja
Sicherheitsdatenbanken-Referenzen:
In Mitres CVE-Verzeichnis: CVE-2003-0468, CVE-2003-0540.
Weitere Informationen:

Der Postfix Mail Transport Agent in Debian 3.0 enthält zwei Verwundbarkeiten:

  • CAN-2003-0468: Postfix erlaubt es einem Angreifer, einen Bounce-Scan in privaten Netzwerken durchzuführen oder den Daemon als DDoS-Werkzeug zu benutzen, indem er den Daemon dazu bringt, sich mit einem beliebigen Service an einer beliebigen IP-Adresse zu verbinden, und entweder die Bounce-Nachrichten empfängt oder die Queue-Operationen überwacht und so auf den Status des Sendeversuchs schließen kann.
  • CAN-2003-0540: Eine fehlerhafte Envelope-Adresse kann 1) den Queue-Manager dazu veranlassen, seine Arbeit einzustellen, bis der Eintrag aus der Queue entfernt wird und 2) den smtp-Empfänger dazu veranlassen, seine Arbeit einzustellen, was zu einem Denial of Service führt.

Für die stable Distribution (Woody) wurden diese Probleme in Version 1.1.11-0.woody3 behoben.

Für die unstable Distribution (Sid) werden diese Probleme bald behoben werden.

Wir empfehlen Ihnen, Ihr postfix-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.0 (woody)

Quellcode:
http://security.debian.org/pool/updates/main/p/postfix/postfix_1.1.11-0.woody3.dsc
http://security.debian.org/pool/updates/main/p/postfix/postfix_1.1.11-0.woody3.diff.gz
http://security.debian.org/pool/updates/main/p/postfix/postfix_1.1.11.orig.tar.gz
Architektur-unabhängige Dateien:
http://security.debian.org/pool/updates/main/p/postfix/postfix-dev_1.1.11-0.woody3_all.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-doc_1.1.11-0.woody3_all.deb
Alpha:
http://security.debian.org/pool/updates/main/p/postfix/postfix_1.1.11-0.woody3_alpha.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-ldap_1.1.11-0.woody3_alpha.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-mysql_1.1.11-0.woody3_alpha.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-pcre_1.1.11-0.woody3_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/p/postfix/postfix_1.1.11-0.woody3_arm.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-ldap_1.1.11-0.woody3_arm.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-mysql_1.1.11-0.woody3_arm.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-pcre_1.1.11-0.woody3_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/p/postfix/postfix_1.1.11-0.woody3_i386.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-ldap_1.1.11-0.woody3_i386.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-mysql_1.1.11-0.woody3_i386.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-pcre_1.1.11-0.woody3_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/p/postfix/postfix_1.1.11-0.woody3_ia64.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-ldap_1.1.11-0.woody3_ia64.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-mysql_1.1.11-0.woody3_ia64.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-pcre_1.1.11-0.woody3_ia64.deb
HPPA:
http://security.debian.org/pool/updates/main/p/postfix/postfix_1.1.11-0.woody3_hppa.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-ldap_1.1.11-0.woody3_hppa.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-mysql_1.1.11-0.woody3_hppa.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-pcre_1.1.11-0.woody3_hppa.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/p/postfix/postfix_1.1.11-0.woody3_m68k.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-ldap_1.1.11-0.woody3_m68k.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-mysql_1.1.11-0.woody3_m68k.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-pcre_1.1.11-0.woody3_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/p/postfix/postfix_1.1.11-0.woody3_mips.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-ldap_1.1.11-0.woody3_mips.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-mysql_1.1.11-0.woody3_mips.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-pcre_1.1.11-0.woody3_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/p/postfix/postfix_1.1.11-0.woody3_mipsel.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-ldap_1.1.11-0.woody3_mipsel.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-mysql_1.1.11-0.woody3_mipsel.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-pcre_1.1.11-0.woody3_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/p/postfix/postfix_1.1.11-0.woody3_powerpc.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-ldap_1.1.11-0.woody3_powerpc.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-mysql_1.1.11-0.woody3_powerpc.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-pcre_1.1.11-0.woody3_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/p/postfix/postfix_1.1.11-0.woody3_s390.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-ldap_1.1.11-0.woody3_s390.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-mysql_1.1.11-0.woody3_s390.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-pcre_1.1.11-0.woody3_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/p/postfix/postfix_1.1.11-0.woody3_sparc.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-ldap_1.1.11-0.woody3_sparc.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-mysql_1.1.11-0.woody3_sparc.deb
http://security.debian.org/pool/updates/main/p/postfix/postfix-pcre_1.1.11-0.woody3_sparc.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.