Oracle Solaris 第三方修補程式更新:fetchmail (multiple_vulnerabilities_in_fetchmail) (BEAST)

medium Nessus Plugin ID 80605
新推出!弱點優先順序評分 (VPR)

Tenable 會為每個弱點計算動態 VPR。VPR 將弱點資訊與威脅情報和機器學習演算法加以結合,藉此預測攻擊者最有可能利用哪些弱點發動攻擊。查看詳細資訊: VPR 是什麼?它跟 CVSS 有何不同?

VPR 評分: 5.2

Synopsis

遠端 Solaris 系統缺少一個第三方軟體的安全性修補程式。

描述

遠端 Solaris 系統缺少處理安全性更新的必要修補程式:

- 在 Microsoft Windows 和 Microsoft Internet Explorer、Mozilla Firefox、Google Chrome、 Opera 和其他產品的特定組態中使用時,SSL 通訊協定會使用 CBC 模式,以鏈結的初始化向量來加密資料,進而允許攔截式攻擊者透過 HTTPS 工作階段上的列塊選擇邊界攻擊 (BCBA),並搭配使用下列項目的 JavaScript 程式碼取得純文字 HTTP 標頭: (1) HTML5 WebSocket API、(2) Java URLConnection API 或 (3) Silverlight WebClient API;也就是「BEAST」攻擊。(CVE-2011-3389)

- Fetchmail 5.0.8 至 6.3.21 版在除錯模式中使用 NTLM 驗證時,會允許遠端 NTLM 伺服器 (1) 透過特製 NTLM 回應在 base64 解碼器中觸發超出邊界讀取,進而造成拒絕服務 (當機和輸入郵件延遲傳遞);或 (2) 透過具有特製 Target Name 結構的 NTLM Type 2 訊息觸發超出邊界讀取,進而從記憶體取得敏感資訊。
(CVE-2012-3482)

解決方案

升級至 Solaris 11/11 SRU 12.4。

另請參閱

http://www.nessus.org/u?4a913f44

http://www.nessus.org/u?90390bc0

Plugin 詳細資訊

嚴重性: Medium

ID: 80605

檔案名稱: solaris11_fetchmail_20121016.nasl

版本: 1.4

類型: local

已發布: 2015/1/19

已更新: 2021/1/14

相依性: ssh_get_info.nasl

風險資訊

風險因素: Medium

VPR 評分: 5.2

CVSS v2.0

基本分數: 5.8

媒介: AV:N/AC:M/Au:N/C:P/I:N/A:P

弱點資訊

CPE: cpe:/o:oracle:solaris:11.0, p-cpe:/a:oracle:solaris:fetchmail

必要的 KB 項目: Host/local_checks_enabled, Host/Solaris11/release, Host/Solaris11/pkg-list

修補程式發佈日期: 2012/10/16

參考資訊

CVE: CVE-2011-3389, CVE-2012-3482