Debian DLA-489-1：ruby-mail 安全性更新

high Nessus Plugin ID 91325

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

此安全性更新可修正 ruby-mail 中的一個安全性問題。建議您升級 ruby-mail 套件。

Takeshi Terada (Mitsui Bussan Secure Directions, Inc.) 發佈了一篇標題為「透過收件者電子郵件地址的 SMTP 插入」(http://www.mbsd.jp/Whitepaper/smtpi.pdf) 的白皮書。此白皮書有一節討論這種弱點如何影響 'mail' ruby gem (請參閱第 3.1 節)。

白皮書具備所有特定的詳細資料，但是基本上，'mail' ruby gem 模組容易受到收件者攻擊，因為它不會驗證也不會清理指定的收件者位址。
因此，白皮書第 2 章中所述的攻擊可以套用至 gem，而不需要任何修改。'mail' ruby gem 本身不會針對電子郵件地址強制執行長度限制，因此，除非是在應用程式端有限制，否則，攻擊者可以透過收件者位址傳送冗長的垃圾郵件。此弱點僅會影響缺少輸入驗證的應用程式。

針對 Debian 7「Wheezy」，這些問題已在 2.4.4-2+deb7u1 版本中修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。