Debian-Sicherheitsankündigung
DSA-373-1 autorespond -- Pufferüberlauf
- Datum des Berichts:
- 16. Aug 2003
- Betroffene Pakete:
- autorespond
- Verwundbar:
- Ja
- Sicherheitsdatenbanken-Referenzen:
- In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 8436.
In Mitres CVE-Verzeichnis: CVE-2003-0654. - Weitere Informationen:
-
Christian Jaeger entdeckte einen Pufferüberlauf in autorespond, einem von qmail verwendeten automatischen E-Mail Beantworter. Diese Verwundbarkeit könnte möglicherweise von einem entfernten Angreifer ausgenutzt werden, um die Privilegien eines Benutzers zu erhalten, der qmail konfiguriert hat, um Nachrichten an autorespond weiterzuleiten. Diese Verwundbarkeit wird zurzeit wegen folgenden Beschränkungen der Länge der problematischen Eingabe als nicht ausnutzbar angesehen, aber es könnte Situationen geben, in denen diese Beschränkungen nicht angewandt werden.
Für die stable Distribution (Woody) wurde dieses Problem in Version 2.0.2-2woody1 behoben.
Für die unstable Distribution (Sid) wird dieses Problem bald behoben sein.
Wir empfehlen Ihnen, Ihr autorespond-Paket zu aktualisieren.
- Behoben in:
-
Debian GNU/Linux 3.0 (woody)
- Quellcode:
- http://security.debian.org/pool/updates/contrib/a/autorespond/autorespond_2.0.2-2woody1.dsc
- http://security.debian.org/pool/updates/contrib/a/autorespond/autorespond_2.0.2-2woody1.diff.gz
- http://security.debian.org/pool/updates/contrib/a/autorespond/autorespond_2.0.2.orig.tar.gz
- http://security.debian.org/pool/updates/contrib/a/autorespond/autorespond_2.0.2-2woody1.diff.gz
- Alpha:
- http://security.debian.org/pool/updates/contrib/a/autorespond/autorespond_2.0.2-2woody1_alpha.deb
- ARM:
- http://security.debian.org/pool/updates/contrib/a/autorespond/autorespond_2.0.2-2woody1_arm.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/contrib/a/autorespond/autorespond_2.0.2-2woody1_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/contrib/a/autorespond/autorespond_2.0.2-2woody1_ia64.deb
- HPPA:
- http://security.debian.org/pool/updates/contrib/a/autorespond/autorespond_2.0.2-2woody1_hppa.deb
- Motorola 680x0:
- http://security.debian.org/pool/updates/contrib/a/autorespond/autorespond_2.0.2-2woody1_m68k.deb
- Big endian MIPS:
- http://security.debian.org/pool/updates/contrib/a/autorespond/autorespond_2.0.2-2woody1_mips.deb
- Little endian MIPS:
- http://security.debian.org/pool/updates/contrib/a/autorespond/autorespond_2.0.2-2woody1_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/contrib/a/autorespond/autorespond_2.0.2-2woody1_powerpc.deb
- IBM S/390:
- http://security.debian.org/pool/updates/contrib/a/autorespond/autorespond_2.0.2-2woody1_s390.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/contrib/a/autorespond/autorespond_2.0.2-2woody1_sparc.deb
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.