S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 21 mars 2003
N° CERTA-2003-AVI-055
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité du client de messagerie Mutt

Gestion du document

Référence CERTA-2003-AVI-055
Titre Vulnérabilité du client de messagerie Mutt
Date de la première version 21 mars 2003
Date de la dernière version 04 avril 2003
Source(s) Bulletin de sécurité CORE-20030304-02 de CORELABS
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Déni de service
  • Exécution de code arbitraire

Systèmes affectés

  • Versions de Mutt antérieures ou égales à la version 1.4.0 (stable) ;
  • versions de Mutt antérieures ou égales à la version 1.5.3 (instable).

Résumé

Une vulnérabilité présente dans le client de messagerie Mutt peut être exploitée afin d'exécuter du code arbitraire sur la plate-forme vulnérable.

Description

Mutt est un client de messagerie très utilisé sur les plates-formes Linux. Il supporte les protocoles POP3 (Post Office Protocol) et IMAP (Internet Message Access Protocol) pour l'interrogation des serveurs de messagerie.

Une vulnérabilité de type débordement de mémoire est présente dans la routine de traitement des noms de dossiers sous IMAP.

Un utilisateur mal intentionné administrant un serveur de messagerie IMAP peut exploiter cette vulnérabilité pour exécuter du code arbitraire à distance sur la plate-forme cliente avec les privilèges du compte utilisant l'application Mutt.

Solution

Installer la version 1.4.1 ou 1.5.4 de Mutt :

http://www.mutt.org

ou appliquer le correctif de l'éditeur :

  • Bulletin de sécurité SuSE SuSE-SA:2003:020 :

    http://www.suse.de/de/security/2003_020_mutt.html

  • Bulletin de sécurité Gentoo GLSA:mutt(200303-19) :

    http://www.gentoo.org

  • Bulletin de sécurité DSA-268 de Debian :

    http://www.debian.org/security/2003/dsa-268

  • Bulletin de sécurité MDKSA-2003:041 de Mandrake :

    http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2003:041

  • Bulletin de sécurité RHSA-2003:109 de Red Hat :

    http://rhn.redhat.com/errata/RHSA-2003-109.html

Documentation

Gestion détaillée du document

    le 21 mars 2003
    version initiale.
    le 25 mars 2003
    Ajout des bulletins de sécurité SuSE et Gentoo.
    le 27 mars 2003
    Ajout bulletin de sécurité Debian. Ajout référence CVE.
    le 04 avril 2003
    Ajout bulletins de sécurité Mandrake et Red Hat.