遠端 Ubuntu 16.04 LTS/18.04 LTS 主機上安裝的套件受到 USN-4621-1 公告中所提及的多個弱點影響。

  - qmail 中的 stralloc_readyplus 函式在具有大量虛擬記憶體的 64 位元平台上執行時，其中的整數溢位讓遠端攻擊者可透過大型 SMTP 要求造成拒絕服務，且可能執行任意程式碼。(CVE-2005-1513 )

  - qmail 中的 commands.c 在具有大量虛擬記憶體的 64 位元平台上執行時，遠端攻擊者可透過沒有空格字元的長 SMTP 命令造成拒絕服務，且可能執行任意程式碼，這會造成參照的陣列帶負數索引。 (CVE-2005-1514)

  - qmail 中的 qmail_put 和 substdio_put 函式在具有大量虛擬記憶體的 64 位元平台上執行時，其中的整數正負號錯誤讓遠端攻擊者可透過大量 SMTP RCPT TO 命令造成拒絕服務，且可能執行任意程式碼。(CVE-2005-1515)

  - netqmail 1.06 中使用的 qmail-verify 容易受到郵件位址驗證繞過弱點影響。
    (CVE-2020-3811)

  - netqmail 1.06 中使用的 qmail-verify 容易受到資訊洩漏弱點影響。本機攻擊者可測試檔案系統中任何位置的檔案和目錄是否存在 (因為 qmail-verify 會以 root 身分執行)，並測試攻擊者主目錄中的檔案是否存在，而不會先中斷其權限。(CVE-2020-3812)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

針對 src: netqmail 報告了數個 CVE 錯誤。

CVE-2005-1513

qmail 中的 stralloc_readyplus 函式在具有大量虛擬記憶體的 64 位元平台上執行時，其中的整數溢位問題讓遠端攻擊者可透過大型 SMTP 要求造成拒絕服務，且可能執行任意程式碼。

CVE-2005-1514

qmail 中的 commands.c 在具有大量虛擬記憶體的 64 位元平台上執行時，遠端攻擊者可透過沒有空格字元的長 SMTP 命令造成拒絕服務，且可能執行任意程式碼，這會造成參照的陣列帶負數索引。

CVE-2005-1515

qmail 中的 qmail_put 和 substdio_put 函式在具有大量虛擬記憶體的 64 位元平台上執行時，其中的整數正負號錯誤讓遠端攻擊者可透過大量 SMTP RCPT TO 命令造成拒絕服務，且可能執行任意程式碼。

CVE-2020-3811

netqmail 1.06 中使用的 qmail-verify 容易受到郵件位址驗證繞過弱點影響。

CVE-2020-3812

netqmail 1.06 中使用的 qmail-verify 容易受到資訊洩漏弱點影響。本機攻擊者可測試檔案系統中任何位置的檔案和目錄是否存在 (因為 qmail-verify 會以 root 身分執行)，並測試攻擊者主目錄中的檔案是否存在，而不會先中斷其權限。

針對 Debian 8「Jessie」，已在 1.06-6.2~deb8u1 版本中修正這些問題。

建議您升級 netqmail 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Georgi Guninski 和 Qualys Research Labs 發現，qmail (在 Debian 中作為 netqmail 隨附其他修補程式) 中有多個弱點，可導致任意程式碼執行、繞過郵件位址驗證，以及本機資訊洩漏 (無論檔案是否存在)。

遠端 Ubuntu 20.04 LTS 主機已安裝套件，這些套件會受 USN-4556-1 公告中所提及的多個弱點影響。

  - qmail 中的 stralloc_readyplus 函式在具有大量虛擬記憶體的 64 位元平台上執行時，其中的整數溢位讓遠端攻擊者可透過大型 SMTP 要求造成拒絕服務，且可能執行任意程式碼。 (CVE-2005-1513 )

  - qmail 中的 commands.c 在具有大量虛擬記憶體的 64 位元平台上執行時，遠端攻擊者可透過沒有空格字元的長 SMTP 命令造成拒絕服務，且可能執行任意程式碼，這會造成參照的陣列帶負數索引。 (CVE-2005-1514)

  - qmail 中的 qmail_put 和 substdio_put 函式在具有大量虛擬記憶體的 64 位元平台上執行時，其中的整數正負號錯誤讓遠端攻擊者可透過大量 SMTP RCPT TO 命令造成拒絕服務，且可能執行任意程式碼。(CVE-2005-1515)

  - netqmail 1.06 中使用的 qmail-verify 容易受到郵件位址驗證繞過弱點影響。
    (CVE-2020-3811)

  - netqmail 1.06 中使用的 qmail-verify 容易受到資訊洩漏弱點影響。本機攻擊者可測試檔案系統中任何位置的檔案和目錄是否存在 (因為 qmail-verify 會以 root 身分執行)，並測試攻擊者主目錄中的檔案是否存在，而不會先中斷其權限。(CVE-2020-3812)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
142500	Ubuntu 16.04 LTS / 18.04 LTS：netqmail 弱點 (USN-4621-1)	Nessus	Ubuntu Local Security Checks	2020/11/6	2024/2/9	critical
137154	Debian DLA-2234-1：netqmail 安全性更新	Nessus	Debian Local Security Checks	2020/6/5	2024/3/7	critical
136837	Debian DSA-4692-1：netqmail - 安全性更新	Nessus	Debian Local Security Checks	2020/5/26	2024/3/8	critical
141054	Ubuntu 20.04 LTS：netqmail 弱點 (USN-4556-1)	Nessus	Ubuntu Local Security Checks	2020/9/30	2024/2/16	critical

偵測

搜尋 Plugin

critical

critical

critical

critical