S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 11 septembre 2003
N° CERTA-2003-AVI-150-001
Affaire suivie par: CERT-FR
le 11 septembre 2003

Avis du CERT-FR

Objet: Vulnérabilités du client de messagerie Pine

Gestion du document

Référence CERTA-2003-AVI-150-001
Titre Vulnérabilités du client de messagerie Pine
Date de la première version 11 septembre 2003
Date de la dernière version 12 septembre 2003
Source(s) Avis de sécurité iDEFENSE 09.10.03
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire à distance.

Systèmes affectés

Pine versions 4.56 et antérieures.

Résumé

Deux vulnérabilités dans le client de messagerie Pine permettent à un utilisateur mal intentionné d'exécuter du code arbitraire à distance.

Description

Pine est un client de messagerie textuel développé par l'Université de Washington. Deux vulnérabilités de type débordement de mémoire sont présentes dans le traitement des messages électroniques par Pine. La première vulnérabilité est une mauvaise gestion du champ message/external-body de l'en-tête des messages. La seconde vulnérabilité est un débordement de mémoire dans la fonction rfc2231_get_param(). Il est ainsi possible pour un utilisateur mal intentionné d'exécuter du code arbitraire à distance par l'envoi d'un message électronique judicieusement composé.

Solution

Mettre à jour Pine en version 4.58. La nouvelle version de Pine peut être obtenue à l'adresse suivante : 

http://www.washigton.edu/pine/getpine/

Documentation

Gestion détaillée du document

    le 11 septembre 2003
    version initiale.
    le 12 septembre 2003
    ajout références aux bulletins de sécurité de RedHat, SuSE et Slackware.