Oracle Linux 6 : mailman (ELSA-2015-1417)

high Nessus Plugin ID 85105

概要

遠端 Oracle Linux 主機缺少一個安全性更新。

說明

來自 Red Hat 安全性公告 2015:1417:

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 mailman 套件,可修正兩個安全性問題和數個錯誤。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數,其中包含有關嚴重性評等的詳細資訊。

mailman 是一種用來協助管理電子郵件討論清單的程式。

據發現,mailman 在將清單名稱傳送至特定 MTA 之前,並未先清理該清單名稱。本機攻擊者可利用此瑕疵,以執行 mailman 的使用者身分執行任意程式碼。(CVE-2015-2775)

據發現,mailman 會將私人電子郵件訊息儲存在任何人皆可讀取的目錄中。本機使用者可利用此瑕疵讀取私人郵寄清單封存。(CVE-2002-0389)

此更新也可修正下列錯誤:

* 之前,無法將 Mailman 設定為使得以網域為基礎的訊息認證、報告與一致性 (DMARC) 會辨識網域金鑰認證郵件 (DKIM) 簽章的寄件者對齊。因此,屬於具有 DMARC「拒絕」原則之郵件伺服器 (例如 yahoo.com 或 AOL.com) 的 Mailman 清單訂閱者,可以收到提供 DKIM 簽章的任何網域中之寄件者的 Mailman 轉送訊息。透過此更新,即可正確辨識具有「拒絕」DMARC 原則的網域,而且 Mailman 清單系統管理員可以設定處理這些訊息的方式。因此,在適當的組態之後,現在在此狀況下的訂閱者可以正確收到 Mailman 轉送的訊息。(BZ#1095359)

* 如果新的郵寄清單是透過 'newlist' 命令所建立,產生「歡迎電子郵件」的主旨時,mailman 會使用主控台編碼。因此,當主控台編碼與 mailman 用於該特定語言的編碼不符時,可能不正確地顯示「歡迎電子郵件」中的字元。mailman 已經過修正,可使用正確的編碼,因此現在可以正確顯示「歡迎電子郵件」中的字元。(BZ#1056366)

* 'rmlist' 命令使用硬式編碼路徑,根據 VAR_PREFIX 組態變數列出資料。因此,當清單是在 VAR_PREFIX 之外建立時,就無法使用‘rmlist’命令移除該清單。透過此更新,’rmlist’命令使用正確的 LIST_DATA_DIR 值而非 VAR_PREFIX,因此現在在所述情況下可以移除該清單。(BZ#1008139)

* 由於 Python 和 mailman 在 Red Hat Enterprise Linux 6 中不相容,因此當仲裁者在郵寄清單中核准了一個仲裁的訊息,並核取「保留網站系統管理員訊息」核取方塊時,Mailman 無法核准訊息並傳回錯誤。此不相容性已經過修正,現在 mailman 在此狀況下會如預期核准訊息。(BZ#765807)

* 當 Mailman 設為不封存清單,但封存未設為私人時,傳送至該清單的附件會放在公用封存中。因此,mailman Web 介面的使用者可以列出私人附件,因為公用封存目錄的 httpd 組態允許列出封存目錄中的所有檔案。mailman 的 httpd 組態已經過修正,不允許列出私人封存目錄,因此 mailman Web 介面的使用者不再能夠列出私人附件。(BZ#745409)

建議 mailman 使用者升級至這些更新版套件,其中包含可更正這些問題的反向移植修補程式。

解決方案

更新受影響的 mailman 套件。

另請參閱

https://oss.oracle.com/pipermail/el-errata/2015-July/005232.html

Plugin 詳細資訊

嚴重性: High

ID: 85105

檔案名稱: oraclelinux_ELSA-2015-1417.nasl

版本: 2.8

類型: local

代理程式: unix

已發布: 2015/7/30

已更新: 2021/1/14

支援的感應器: Frictionless Assessment Agent, Nessus Agent, Nessus

風險資訊

VPR

風險因素: Medium

分數: 4.4

CVSS v2

風險因素: High

基本分數: 7.6

時間分數: 5.6

媒介: CVSS2#AV:N/AC:H/Au:N/C:C/I:C/A:C

弱點資訊

CPE: p-cpe:/a:oracle:linux:mailman, cpe:/o:oracle:linux:6

必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2015/7/29

弱點發布日期: 2002/6/18

參考資訊

CVE: CVE-2002-0389, CVE-2015-2775

BID: 4538, 73922

RHSA: 2015:1417