jaguar@felinemenace.org entdeckte eine Format-String-Verwundbarkeit in log2mail, wodurch ein Benutzer beliebigen Code mit den Rechten des log2mail-Prozesses ausführen lassen kann, wenn er in der Lage ist, eine speziell präparierte Nachricht in eine Logdatei zu schreiben, die von log2mail überwacht wird (beispielsweise über syslog). In der Voreinstellung läuft dieser Prozess als Benutzer »log2mail«, der ein Mitglied der Gruppe »adm« ist (die Lesezugriff auf Logdateien des Systems hat).
CAN-2004-0450: log2mail Format-String-Verwundbarkeit über syslog(3) in printlog()
Für die aktuelle stable Distribution (Woody) wurde dieses Problem in Version 0.2.5.2 behoben.
Für die unstable Distribution (Sid) wird dieses Problem bald behoben sein.
Wir empfehlen Ihnen, Ihr log2mail-Paket zu aktualisieren.
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.