Debian-Sicherheitsankündigung

DSA-1516-1 dovecot -- Privilegienerweiterung

Datum des Berichts:

14. Mär 2008

Betroffene Pakete:

dovecot

Verwundbar:

Sicherheitsdatenbanken-Referenzen:

In der Debian-Fehlerdatenbank: Fehler 469457.
In Mitres CVE-Verzeichnis: CVE-2008-1199, CVE-2008-1218.

Weitere Informationen:

Vor dieser Aktualisierung liefen in der Debian-Standardkonfiguration von Dovecot die Server-Daemonen mit Rechten den Gruppe mail. Das bedeutet, dass Benutzer mit Schreibzugriff auf ihr E-Mail-Verzeichnis auf dem Server (zum Beispiel durch eine SSH-Anmeldung) mittels symbolischer Links Mailboxes anderer Personen lesen und auch löschen können, auf welche sie keinen direkten Zugriff haben. (CVE-2008-1199). Zusätzlich wurde ein interner Interpretationskonflikt im Umgang mit Passwörtern vorsorglich korrigiert, obwohl er nicht als ausnutzbar bekannt ist (CVE-2008-1218).

Es ist zu beachten, dass die Anwendung dieser Aktualisierung ein manuelles Eingreifen erfordert: Der Konfigurationseintrag mail_extra_groups = mail wurde durch mail_privileged_group = mail ersetzt. Die Aktualisierung wird einen Konflikt in der Konfigurationsdatei /etc/dovecot/dovecot.conf anzeigen. Es wird empfohlen, die aktuell installierte Konfigurationsdatei zu behalten und die betreffende Zeile zu ändern. Zur Referenz wird die Beispielkonfiguration (ohne Ihre lokalen Änderungen) in /etc/dovecot/dovecot.conf.dpkg-new geschrieben.

Falls Ihre aktuelle Konfiguration mail_extra_groups mit einem anderen Wert als mail verwendet, müssen Sie eventuell auf die Anweisung mail_access_groups zurückgreifen.

Für die alte Stable-Distribution (Sarge) werden keine Aktualisierungen angeboten. Wir empfehlen, dass Sie auf die stabile Distribution aktualisieren.

Für die Stable-Distribution (Etch) wurden diese Probleme in Version 1.0.rc15-2etch4 behoben.

Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 1.0.13-1 behoben.

Behoben in:

Debian GNU/Linux 4.0 (etch)

Quellcode:: http://security.debian.org/pool/updates/main/d/dovecot/dovecot_1.0.rc15-2etch4.dsc; http://security.debian.org/pool/updates/main/d/dovecot/dovecot_1.0.rc15.orig.tar.gz; http://security.debian.org/pool/updates/main/d/dovecot/dovecot_1.0.rc15-2etch4.diff.gz
Alpha:: http://security.debian.org/pool/updates/main/d/dovecot/dovecot-pop3d_1.0.rc15-2etch4_alpha.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-common_1.0.rc15-2etch4_alpha.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-imapd_1.0.rc15-2etch4_alpha.deb
AMD64:: http://security.debian.org/pool/updates/main/d/dovecot/dovecot-common_1.0.rc15-2etch4_amd64.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-pop3d_1.0.rc15-2etch4_amd64.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-imapd_1.0.rc15-2etch4_amd64.deb
ARM:: http://security.debian.org/pool/updates/main/d/dovecot/dovecot-common_1.0.rc15-2etch4_arm.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-pop3d_1.0.rc15-2etch4_arm.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-imapd_1.0.rc15-2etch4_arm.deb
HP Precision:: http://security.debian.org/pool/updates/main/d/dovecot/dovecot-common_1.0.rc15-2etch4_hppa.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-pop3d_1.0.rc15-2etch4_hppa.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-imapd_1.0.rc15-2etch4_hppa.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/d/dovecot/dovecot-common_1.0.rc15-2etch4_i386.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-imapd_1.0.rc15-2etch4_i386.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-pop3d_1.0.rc15-2etch4_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/d/dovecot/dovecot-imapd_1.0.rc15-2etch4_ia64.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-pop3d_1.0.rc15-2etch4_ia64.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-common_1.0.rc15-2etch4_ia64.deb
Big-endian MIPS:: http://security.debian.org/pool/updates/main/d/dovecot/dovecot-pop3d_1.0.rc15-2etch4_mips.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-imapd_1.0.rc15-2etch4_mips.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-common_1.0.rc15-2etch4_mips.deb
Little-endian MIPS:: http://security.debian.org/pool/updates/main/d/dovecot/dovecot-common_1.0.rc15-2etch4_mipsel.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-imapd_1.0.rc15-2etch4_mipsel.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-pop3d_1.0.rc15-2etch4_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/d/dovecot/dovecot-imapd_1.0.rc15-2etch4_powerpc.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-pop3d_1.0.rc15-2etch4_powerpc.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-common_1.0.rc15-2etch4_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/d/dovecot/dovecot-pop3d_1.0.rc15-2etch4_s390.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-common_1.0.rc15-2etch4_s390.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-imapd_1.0.rc15-2etch4_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/d/dovecot/dovecot-imapd_1.0.rc15-2etch4_sparc.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-common_1.0.rc15-2etch4_sparc.deb; http://security.debian.org/pool/updates/main/d/dovecot/dovecot-pop3d_1.0.rc15-2etch4_sparc.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.