漏洞信息详情
Fetchmail无效警告消息本地拒绝服务漏洞
- CNNVD编号：CNNVD-200708-424
- 危害等级： 低危
- CVE编号： CVE-2007-4565
- 漏洞类型： 设计错误
- 发布时间： 2007-08-27
- 威胁类型： 远程
- 更新时间： 2009-08-19
- 厂 商： fetchmail
- 漏洞来源： Matthias Andree※ m...
漏洞简介
Fetchmail是免费的软件包，可以从远程POP2、POP3、IMAP、ETRN或ODMR服务器检索邮件并将其转发给本地SMTP、LMTP服务器或消息传送代理。
在某些情况下Fetchmail会生成警告消息并发送给管理员信箱或启动Fetchmail的用户，例如，当登录到上游服务器反复失败或消息超过大小限制时就会生成这样的消息。如果之后Fetchmail将消息转发到的SMTP监听程序拒绝了这个警告消息，在试图确定是否应发送bounce消息时会引用空指针，导致Fetchmail崩溃，在重启之前不会再收集任何消息。
漏洞公告
目前厂商已经发布了升级补丁以修复这个安全问题，补丁下载链接：
http://fetchmail.berliOS.de/
Index: sink.c
===================================================================
--- sink.c (revision 5118)
+++ sink.c (revision 5119)
@@ -262,7 +262,7 @@
const char *md1 = "MAILER-DAEMON", *md2 = "MAILER-DAEMON@";
/* don't bounce in reply to undeliverable bounces */
- if (!msg->return_path[0] ||
+ if (!msg || !msg->return_path[0] ||
strcmp(msg->return_path, "<>") == 0 ||
strcasecmp(msg->return_path, md1) == 0 ||
strncasecmp(msg->return_path, md2, strlen(md2)) == 0)
参考网址
来源: mknod.org
链接:http://mknod.org/svn/fetchmail/branches/BRANCH_6-3/fetchmail-SA-2007-02.txt
来源: BUGTRAQ
名称: 20080617 fetchmail security announcement fetchmail-SA-2007-02 (CVE-2007-4565)
链接:http://www.securityfocus.com/archive/1/archive/1/493388/100/0/threaded
来源: VUPEN
名称: ADV-2009-0422
链接:http://www.frsirt.com/english/advisories/2009/0422
来源: support.CMS.zone.ci/e/tags/htag.php?tag=Apple target=_blank class=infotextkey>Apple.com
链接:http://support.CMS.zone.ci/e/tags/htag.php?tag=Apple target=_blank class=infotextkey>Apple.com/kb/HT3438
来源: SECUNIA
名称: 33937
链接:http://secunia.com/advisories/33937
来源: OSVDB
名称: 45833
链接:http://osvdb.org/45833
来源: CMS.zone.ci/e/tags/htag.php?tag=Apple target=_blank class=infotextkey>Apple
名称: CMS.zone.ci/e/tags/htag.php?tag=Apple target=_blank class=infotextkey>Apple-SA-2009-02-12
链接:http://lists.CMS.zone.ci/e/tags/htag.php?tag=Apple target=_blank class=infotextkey>Apple.com/archives/security-announce/2009/Feb/msg00000.HTML
来源: issues.rpath.com
链接:https://issues.rpath.com/browse/RPL-1690
来源: XF
名称: fetchmail-warning-dos(36385)
链接:http://xforce.iss.net/xforce/xfdb/36385
来源: UBUNTU
名称: USN-520-1
链接:http://www.ubuntu.com/usn/usn-520-1
来源: TRUSTIX
名称: 2007-0028
链接:http://www.trustix.org/errata/2007/0028/
来源: SECTRACK
名称: 1018627
链接:http://www.securitytracker.com/id?1018627
来源: BID
名称: 25495
链接:http://www.securityfocus.com/bid/25495
来源: BUGTRAQ
名称: 20070907 FLEA-2007-0053-1 fetchmail
链接:http://www.securityfocus.com/archive/1/archive/1/478798/100/0/threaded
来源: MANDRIVA
名称: MDKSA-2007:179
链接:http://www.mandriva.com/security/advisories?name=MDKSA-2007:179
来源: VUPEN
名称: ADV-2007-3032
链接:http://www.frsirt.com/english/advisories/2007/3032
来源: DEBIAN
名称: DSA-1377
链接:http://www.debian.org/security/2007/dsa-1377
来源: SREASON
名称: 3074
链接:http://securityreason.com/securityalert/3074
来源: SECUNIA
名称: 27399
链接:http://secunia.com/advisories/27399
来源: SUSE
名称: SUSE-SR:2007:022
链接:http://lists.opensuse.org/opensuse-security-announce/2007-10/msg00008.HTML
受影响实体
- Fetchmail Fetchmail:6.3.9:Rc2
- Fetchmail Fetchmail:6.3.6:Rc5
- Fetchmail Fetchmail:6.3.6:Rc4
- Fetchmail Fetchmail:6.3.6:Rc3
- Fetchmail Fetchmail:6.2.9:Rc7
补丁
暂无
评论