S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 21 mars 2003
N° CERTA-2003-AVI-055-003
Affaire suivie par: CERT-FR
le 21 mars 2003

Avis du CERT-FR

Objet: Vulnérabilité du client de messagerie Mutt

Gestion du document

Référence CERTA-2003-AVI-055-003
Titre Vulnérabilité du client de messagerie Mutt
Date de la première version 21 mars 2003
Date de la dernière version 04 avril 2003
Source(s) Bulletin de sécurité CORE-20030304-02 de CORELABS
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire ;
  • déni de service.

Systèmes affectés

  • Versions de Mutt antérieures ou égales à la version 1.4.0 (stable) ;
  • versions de Mutt antérieures ou égales à la version 1.5.3 (instable).

Résumé

Une vulnérabilité présente dans le client de messagerie Mutt peut être exploitée afin d'exécuter du code arbitraire sur la plate-forme vulnérable.

Description

Mutt est un client de messagerie très utilisé sur les plates-formes Linux. Il supporte les protocoles POP3 (Post Office Protocol) et IMAP (Internet Message Access Protocol) pour l'interrogation des serveurs de messagerie.


Une vulnérabilité de type débordement de mémoire est présente dans la routine de traitement des noms de dossiers sous IMAP.

Un utilisateur mal intentionné administrant un serveur de messagerie IMAP peut exploiter cette vulnérabilité pour exécuter du code arbitraire à distance sur la plate-forme cliente avec les privilèges du compte utilisant l'application Mutt.

Solution

Installer la version 1.4.1 ou 1.5.4 de Mutt : 

http://www.mutt.org


ou appliquer le correctif de l'éditeur :

Documentation

Gestion détaillée du document

    le 21 mars 2003
    version initiale.
    le 25 mars 2003
    Ajout des bulletins de sécurité SuSE et Gentoo.
    le 27 mars 2003
    Ajout bulletin de sécurité Debian. Ajout référence CVE.
    le 04 avril 2003
    Ajout bulletins de sécurité Mandrake et Red Hat.