Debian DLA-2234-1：netqmail 安全性更新

critical Nessus Plugin ID 137154

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

針對 src: netqmail 報告了數個 CVE 錯誤。

CVE-2005-1513

qmail 中的 stralloc_readyplus 函式在具有大量虛擬記憶體的 64 位元平台上執行時，其中的整數溢位問題讓遠端攻擊者可透過大型 SMTP 要求造成拒絕服務，且可能執行任意程式碼。

CVE-2005-1514

qmail 中的 commands.c 在具有大量虛擬記憶體的 64 位元平台上執行時，遠端攻擊者可透過沒有空格字元的長 SMTP 命令造成拒絕服務，且可能執行任意程式碼，這會造成參照的陣列帶負數索引。

CVE-2005-1515

qmail 中的 qmail_put 和 substdio_put 函式在具有大量虛擬記憶體的 64 位元平台上執行時，其中的整數正負號錯誤讓遠端攻擊者可透過大量 SMTP RCPT TO 命令造成拒絕服務，且可能執行任意程式碼。

CVE-2020-3811

netqmail 1.06 中使用的 qmail-verify 容易受到郵件位址驗證繞過弱點影響。

CVE-2020-3812

netqmail 1.06 中使用的 qmail-verify 容易受到資訊洩漏弱點影響。本機攻擊者可測試檔案系統中任何位置的檔案和目錄是否存在 (因為 qmail-verify 會以 root 身分執行)，並測試攻擊者主目錄中的檔案是否存在，而不會先中斷其權限。

針對 Debian 8「Jessie」，已在 1.06-6.2~deb8u1 版本中修正這些問題。

建議您升級 netqmail 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。