Bulletin d'alerte Debian

DLA-106-1 getmail4 -- Mise à jour de sécurité pour LTS

Date du rapport :
12 décembre 2014
Paquets concernés :
getmail4
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 766670.
Dans le dictionnaire CVE du Mitre : CVE-2014-7273, CVE-2014-7274, CVE-2014-7275.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans getmail4, un logiciel de récupération de courriel qui prend en charge POP3, IMAP4 et SDPS, qui pourraient permettre des attaques de type homme du milieu.

  • CVE-2014-7273

    L'implémentation d'IMAPS (IMAP-over-SSL) dans getmail, de la version 4.0.0 à la version 4.43.0, ne vérifie pas les certificats X.509 des serveurs SSL. Cela permet à des attaquants de type homme du milieu d'usurper l'identité des serveurs IMAP et d'obtenir des informations sensibles à l'aide d'un certificat contrefait.

  • CVE-2014-7274

    L'implémentation d'IMAPS (IMAP-over-SSL) dans getmail 4.44.0 ne vérifie pas si le nom d'hôte du serveur correspond à un nom de domaine dans le champ Common Name (CN) du sujet du certificat X.509. Cela permet à des attaquants de type homme du milieu d'usurper l'identité des serveurs IMAP et d'obtenir des informations sensibles à l'aide d'un certificat contrefait d'une autorité de certification reconnue.

  • CVE-2014-7275

    L'implémentation de POP3S (POP3-over-SSL) dans getmail, de la version 4.0.0 à la version 4.44.0, ne vérifie les certificats X.509 des serveurs SSL. Cela permet à des attaquants de type homme du milieu d'usurper l'identité des serveurs POP3 et d'obtenir des informations sensibles à l'aide d'un certificat contrefait.

Pour la distribution Wheezy, ces problèmes ont été corrigés dans la nouvelle version de l’amont : 4.46.0-1~deb6u1. Le paquet mis à jour a été préparé par Osamu Aoki.