Bulletin d'alerte Debian

DSA-3105-1 heirloom-mailx -- Mise à jour de sécurité

Date du rapport :
16 décembre 2014
Paquets concernés :
heirloom-mailx
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2004-2771, CVE-2014-7844.
Plus de précisions :

Deux vulnérabilités de sécurité ont été découvertes dans mailx de Heirloom, une implémentation de la commande mail :

  • CVE-2004-2771

    mailx interprète les métacaractères de l'interpréteur dans certaines adresses de courrier électronique.

  • CVE-2014-7844

    Une fonctionnalité inattendue de mailx traite des adresses de courrier électronique, syntaxiquement valables, comme des commandes d'interpréteur à exécuter.

L'exécution de commandes de l'interpréteur peut être réactivée par l'option expandaddr.

Notez que cette mise à jour de sécurité ne supprime pas cependant toutes les possibilités de mailx d'exécution de commande. Les scripts qui envoient des messages électroniques à des adresses obtenues d'une source non fiable (telle qu'un formulaire web) pourraient utiliser le séparateur -- avant l'adresse de courrier électronique (ce qui a été corrigé de manière à fonctionner correctement dans cette mise à jour), ou ils pourraient être modifiés pour invoquer plutôt la commande mail -t ou sendmail -i -t, transformant l'adresse du destinataire en partie de l'en-tête du courrier électronique.

Pour la distribution stable (Wheezy), ces problèmes ont été corrigés dans la version 12.5-2+deb7u1.

Nous vous recommandons de mettre à jour vos paquets heirloom-mailx.