Oracle Linux 3 / 4 / 5 : fetchmail (ELSA-2009-1427)

medium Nessus Plugin ID 67920

語系：

概要

遠端 Oracle Linux 主機缺少一個安全性更新。

說明

來自 Red Hat 安全性公告 2009:1427：

現已提供適用於 Red Hat Enterprise Linux 3、4 和 5 的更新版 fetchmail 套件，可修正多個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。

Fetchmail 是一種遠端郵件擷取和轉發公用程式，可在如 SLIP 和 PPP 連線等隨需 TCP/IP 連結上使用。

據發現，fetchmail 受之前發佈的「null prefix attack」影響，此問題因在 X.509 憑證中錯誤處理 NULL 字元而導致。如果攻擊者能夠取得由受信任之憑證授權單位簽署的特製憑證，攻擊者可在攔截式攻擊期間利用憑證，並可能誘使 fetchmail 錯誤地接受它。(CVE-2009-2666)

當傳送警告郵件給郵件管理員時，在 fetchmail 處理來自遠端 SMTP 伺服器之拒絕的方式中發現一個瑕疵。如果 fetchmail 傳送警告郵件給 SMTP 伺服器的郵件管理員，而 SMTP 伺服器予以拒絕，fetchmail 可能會損毀。(CVE-2007-4565)

在 fetchmail 中發現一個瑕疵。當 fetchmail 在雙重 verbose 模式 (「-v -v」) 下執行時，可能於接收某些格式有誤且含有長標頭的郵件訊息時損毀。如果 fetchmail 也在程序模式 (「-d」) 下執行，遠端攻擊者可利用此瑕疵造成拒絕服務。(CVE-2008-2711)

注意：使用已啟用 SSL 的服務時，建議使用 fetchmail「--sslcertck」選項強制執行嚴格的 SSL 憑證檢查。

所有 fetchmail 使用者應升級至此更新套件，該套件包含可更正這些問題的反向移植修補程式。如果 fetchmail 在程序模式下執行，必須將其重新啟動，此更新才會生效 (使用「fetchmail --quit」命令停止 fetchmail 處理程序)。