Bulletin d'alerte Debian

imp -- Compromission distante

Date du rapport :

10 septembre 2000

Paquets concernés :

imp, horde

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2000-0910.

Plus de précisions :

imp distribué dans la Debian GNU/Linux 2.2 ne vérifie que partiellement les données utilisateurs soumises : le frontale internet de messagerie IMP ne vérifie pas la présence de métacaractères dans la variable $from qui contient l'adresse de l'expéditeur. Cette faiblesse peut être utilisée pour exécuter des commandes arbitraires sur le serveur où est lancé imp.

Pour réparer cela, horde (la bibliothèque utilisée par imp) a été modifiée pour nettoyer $from et imp a été corrigé pour améliorer la vérification des données soumises par l'utilisateur. Les versions mises à jour sont horde 1.2.1-0 et imp 2.2.1-0. Nous vous recommandons la mise à jour immédiate de ces deux paquets.

Corrigé dans :

Debian 2.2 (potato)

Source :: http://security.debian.org/dists/stable/updates/main/source/horde_1.2.1-0.dsc; http://security.debian.org/dists/stable/updates/main/source/horde_1.2.1-0.tar.gz; http://security.debian.org/dists/stable/updates/main/source/imp_2.2.1-0.dsc; http://security.debian.org/dists/stable/updates/main/source/imp_2.2.1-0.tar.gz
Composant indépendant de l'architecture :: http://security.debian.org/dists/stable/updates/main/binary-all/horde_1.2.1-0_all.deb; http://security.debian.org/dists/stable/updates/main/binary-all/imp_2.2.1-0_all.deb