Debian DLA-106-1：getmail4 安全性更新

medium Nessus Plugin ID 82090

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

在 getmail4 (一種支援 POP3、 IMAP4 和 SDPS 的郵件擷取器) 中發現數個弱點，可能會導致攔截式攻擊。

CVE-2014-7273

getmail 4.0.0 到 4.43.0 版本中的 IMAP-over-SSL 實作未驗證來自 SSL 伺服器的 X.509 憑證，進而允許攔截式攻擊者透過特製的憑證偽造 IMAP 伺服器並取得敏感資訊。

CVE-2014-7274

getmail 4.44.0 中的 IMAP-over-SSL 實作未驗證伺服器主機名稱是否與 X.509 憑證主體之共用名稱 (CN) 欄位中的網域名稱相符，進而允許攔截式攻擊者透過來自所識別憑證授權單位的特製憑證，偽造 IMAP 伺服器並取得敏感資訊。

CVE-2014-7275

getmail 4.0.0 到 4.44.0 版本中的 POP3-over-SSL 實作未驗證來自 SSL 伺服器的 X.509 憑證，進而允許攔截式攻擊者透過特製的憑證偽造 POP3 伺服器並取得敏感資訊。

針對 squeeze 發行版本，這些問題已透過匯入下列新上游版本修正：4.46.0-1~deb6u1。更新版套件是由 Osamu Aoki 準備的。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。