Risque
Exécution de code arbitraire.
Systèmes affectés
Versions d'Eudora pour Windows antérieures à la version 6.0.1.
Résumé
Trois vulnérabilités découvertes dans Eudora pour Windows permettent l'exécution de code arbitraire.
Description
Une vulnérabilité est présente lorsque l'on répond à l'expéditeur et à tous les destinataires (Reply To All) d'un message dont le champ From ou Reply-To contient un nombre de caractères important dans le nom. Par le biais d'un message habilement constitué, un utilisateur mal intentionné peut ainsi exécuter du code arbitraire.
Une vulnérabilité est présente dans le traitement des noms des fichiers joints au message. Un utilisateur mal intentionné peut exécuter du code arbitraire en envoyant un message contenant un fichier dont le nom dépasse 250 caractères.
Une vulnérabilité permet de faire afficher un nom de fichier différent de celui réellement attaché. Cette vulnérabilité n'est pas corrigée à ce jour.
Solution
Installer la version 6.0.1 d'Eudora téléchargeable à l'adresse suivante :
http://www.eudora.com/download
La version 6.0.1 ne corrige pas la vulnérabilité sur l'affichage du nom de fichier.
Documentation
Avis de sécurité SNS No.69 :
http://www.lac.co.jp/security/english/snsadv_e/69_e.html
Avis de sécurité de Secunia SA9729 :
http://www.secunia.com/advisories/9729
Document 2485HQ de Eudora :
http://www.eudora.com/techsupport/kb/2485hq.html
