Debian-Sicherheitsankündigung
DSA-502-1 exim-tls -- Pufferüberlauf
- Datum des Berichts:
- 11. Mai 2004
- Betroffene Pakete:
- exim-tls
- Verwundbar:
- Ja
- Sicherheitsdatenbanken-Referenzen:
- In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 10290, BugTraq ID 10291.
In Mitres CVE-Verzeichnis: CVE-2004-0399, CVE-2004-0400. - Weitere Informationen:
-
Georgi Guninski entdeckte zwei Stack-basierte Pufferüberläufe in exim und exim-tls. Sie können in der voreingestellten Konfiguration des Debian-Systems allerdings nicht ausgenutzt werden. Das »Common Vulnerabilities and Exposures«-Projekt identifiziert die folgenden Probleme, die mit dieser Aktualisierung behoben sind:
- CAN-2004-0399
Wenn »sender_verify = true« in exim.conf konfiguriert ist, kann ein Pufferüberlauf während der Überprüfung des Senders auftreten. Dieses Problem ist in exim4 behoben.
- CAN-2004-0400
Wenn headers_check_syntax in exim.conf konfiguriert ist, kann ein Pufferüberlauf während der Überprüfung des Headers auftreten. Dieses Problem existiert auch in exim 4.
Für die stable Distribution (Woody) wurden diese Probleme in Version 3.35-3woody2 behoben.
In der unstable Distribution (Sid) ist exim-tls nicht mehr enthalten. Die Funktionalität wurde in die Hauptversion von exim integriert, in der diese Probleme in der Version 3.36-11 für exim 3 und in Version 4.33-1 für exim 4 behoben sind.
Wir empfehlen Ihnen, Ihr exim-tls-Paket zu aktualisieren.
- CAN-2004-0399
- Behoben in:
-
Debian GNU/Linux 3.0 (woody)
- Quellcode:
- http://security.debian.org/pool/updates/main/e/exim-tls/exim-tls_3.35-3woody2.dsc
- http://security.debian.org/pool/updates/main/e/exim-tls/exim-tls_3.35-3woody2.diff.gz
- http://security.debian.org/pool/updates/main/e/exim-tls/exim-tls_3.35.orig.tar.gz
- http://security.debian.org/pool/updates/main/e/exim-tls/exim-tls_3.35-3woody2.diff.gz
- Alpha:
- http://security.debian.org/pool/updates/main/e/exim-tls/exim-tls_3.35-3woody2_alpha.deb
- ARM:
- http://security.debian.org/pool/updates/main/e/exim-tls/exim-tls_3.35-3woody2_arm.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/e/exim-tls/exim-tls_3.35-3woody2_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/main/e/exim-tls/exim-tls_3.35-3woody2_ia64.deb
- HPPA:
- http://security.debian.org/pool/updates/main/e/exim-tls/exim-tls_3.35-3woody2_hppa.deb
- Motorola 680x0:
- http://security.debian.org/pool/updates/main/e/exim-tls/exim-tls_3.35-3woody2_m68k.deb
- Big endian MIPS:
- http://security.debian.org/pool/updates/main/e/exim-tls/exim-tls_3.35-3woody2_mips.deb
- Little endian MIPS:
- http://security.debian.org/pool/updates/main/e/exim-tls/exim-tls_3.35-3woody2_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/e/exim-tls/exim-tls_3.35-3woody2_powerpc.deb
- IBM S/390:
- http://security.debian.org/pool/updates/main/e/exim-tls/exim-tls_3.35-3woody2_s390.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/e/exim-tls/exim-tls_3.35-3woody2_sparc.deb
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.