S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 15 octobre 2002
N° CERTA-2002-AVI-229-001
Affaire suivie par: CERT-FR
le 15 octobre 2002

Avis du CERT-FR

Objet: Vulnérabilité de fetchmail

Gestion du document

Référence CERTA-2002-AVI-229-001
Titre Vulnérabilité de fetchmail
Date de la première version 15 octobre 2002
Date de la dernière version 31 octobre 2002
Source(s) -
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Déni de service ;
  • exécution de code arbitraire.

Systèmes affectés

Toutes les versions de fetchmail antérieures à la version 6.1.0.

Résumé

Plusieurs vulnérabilités de type débordement de mémoire dans le paquetage fetchmail permettent à un utilisateur mal intentionné de réaliser un déni de service ou d'exécuter du code arbitraire sur la machine cible.

Description

fetchmail est un outil permettant la récupération de messages électroniques sur un serveur distant et la transmission du message à un routeur de méls.

Plusieurs vulnérabilités dans le code de fetchmail gérant la gestion des en-têtes méls permettent à un utilisateur mal intentionné de réaliser un deni de service ou d'exécuter du code arbitraire sur la machine cible, avec les droits de l'utilisateur lançant fetchmail (éventuellement l'utilisateur root selon les configurations).

Solution

Installer le paquetage fetchmail version 6.1.0 ou supérieure.

Documentation

Gestion détaillée du document

    le 15 octobre 2002
    version initiale.
    le 31 octobre 2002
    ajout des vulérabilités Mandrake et Sun.