Debians sikkerhedsbulletin

DSA-097-1 exim -- ukontrolleret programudførelse

Rapporteret den:

3. jan 2002

Berørte pakker:

exim

Sårbar:

Referencer i sikkerhedsdatabaser:

Der er pt. ingen tilgængelige eksterne sikkerhedsreferencer i andre databaser.

Yderligere oplysninger:

Patrice Fournier har fundet en fejl i alle versioner af Exim som er ældre end 3.34 og 3.952.

Exim-vedligeholderen, Philip Hazel, skriver om dette problem: "Problemet forekommer kun i tilfælde hvor konfigurationer dirigerer en adresse til en pipe-transport unden at kontrollere den lokale del af adressen på nogen måde. Dette gælder for eksempel ikke pipes der kører fra alias- eller forward-filer, fordi den lokale del af adressen kontrolleres for at sikre at den svarer til et navn på et alias eller en lokal bruger. Fejlen optræder på den måde, at en defekt Exim i stedet for at adlyde den korrekte pipe-kommando, udfører kommandoen som er kodet ind i den lokale del af adressen."

Dette problem er rettet i Exim version 3.12-10.2 i den stabile distribution af Debian GNU/Linux 2.2 og i version 3.33-1.1 i distributionerne testing og unstable. Vi anbefaler at du opgraderer din exim-pakke.

Rettet i:

Debian GNU/Linux 2.2 (potato)

Kildekode:: http://security.debian.org/dists/stable/updates/main/source/exim_3.12-10.2.dsc; http://security.debian.org/dists/stable/updates/main/source/exim_3.12-10.2.diff.gz; http://security.debian.org/dists/stable/updates/main/source/exim_3.12.orig.tar.gz
Alpha:: http://security.debian.org/dists/stable/updates/main/binary-alpha/exim_3.12-10.2_alpha.deb; http://security.debian.org/dists/stable/updates/main/binary-alpha/eximon_3.12-10.2_alpha.deb
ARM:: http://security.debian.org/dists/stable/updates/main/binary-arm/exim_3.12-10.2_arm.deb; http://security.debian.org/dists/stable/updates/main/binary-arm/eximon_3.12-10.2_arm.deb
Intel ia32:: http://security.debian.org/dists/stable/updates/main/binary-i386/exim_3.12-10.2_i386.deb; http://security.debian.org/dists/stable/updates/main/binary-i386/eximon_3.12-10.2_i386.deb
Motorola 680x0:: http://security.debian.org/dists/stable/updates/main/binary-m68k/exim_3.12-10.2_m68k.deb; http://security.debian.org/dists/stable/updates/main/binary-m68k/eximon_3.12-10.2_m68k.deb
PowerPC:: http://security.debian.org/dists/stable/updates/main/binary-powerpc/exim_3.12-10.2_powerpc.deb; http://security.debian.org/dists/stable/updates/main/binary-powerpc/eximon_3.12-10.2_powerpc.deb
Sun Sparc:: http://security.debian.org/dists/stable/updates/main/binary-sparc/exim_3.12-10.2_sparc.deb; http://security.debian.org/dists/stable/updates/main/binary-sparc/eximon_3.12-10.2_sparc.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.