Risque
- Atteinte à l'intégrité des données ;
- atteinte à la confidentialité des données ;
- élévation de privilèges.
Systèmes affectés
Postfix dans les version suivantes :
- branche 2.3, avant la version 2.3.15 ;
- branche 2.4, avant la version 2.4.8 ;
- branche 2.5, avant la version 2.5.4 ;
- branche 2.6, avant la version 2.6-20080814.
Résumé
Deux vulnérabilités dans Postfix permettent à un utilisateur malveillant d'élever ses privilèges et de porter atteinte à l'intégrité et à la confidentialité de données.
Description
Le support des liens sur certains systèmes d'exploitation permet à un utilisateur malveillant de modifier des fichiers ne lui appartenant pas ou d'élever ses privilèges par la construction de liens et l'envoi de messages.
Un défaut de vérification des droits sur les boîtes aux lettres permet à un utilisateur malintentionné de lire des courriels qui ne lui sont pas destinés.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité Gentoo GLSA-200808-12 du 14 août 2008 :
http://www.gentoo.org/security/en/glsa/glsa-200808-12.xml
- Bulletin de sécurité RedHat RHSA-2008:0839 du 14 août 2008 :
http://rhn.redhat.com/errata/RHSA-2008-0839.html
- Bulletin de sécurité OpenSuse SUSE-SA:2008:040 du 14 août 2008 :
http://lists.opensuse-security-announce/2008-08/msg00002.html
- Référence CVE CVE-2008-2936 :
https://www.cve.org/CVERecord?id=CVE-2008-2936
- Référence CVE CVE-2008-2937 :
https://www.cve.org/CVERecord?id=CVE-2008-2937
