Debian セキュリティ勧告
DSA-2233-1 postfix -- 複数の脆弱性
- 報告日時:
- 2011-05-10
- 影響を受けるパッケージ:
- postfix
- 危険性:
- あり
- 参考セキュリティデータベース:
- Mitre の CVE 辞書: CVE-2009-2939, CVE-2011-0411, CVE-2011-1720.
- 詳細:
-
複数の欠陥がメール転送エージェント postfix に発見されました。 The Common Vulnerabilities and Exposures project は以下の問題を認識し ています。
- CVE-2009-2939
postinst スクリプトが postfix ユーザに /var/spool/postfix/pid への書き込みアクセスを許すため、ローカ ルの攻撃者がシンボリックリンク攻撃を用いて任意のファイルを上 書き可能です。
- CVE-2011-0411
STARTTLS 実装が適切に I/O バッファリングを制限していないため、 中間者攻撃により STARTTLS コマンドの直後に平文のコマンドを挿 入して送りつけることで、暗号化された (ているはずの) SMTP セ ッションにコマンドの挿入が可能です。
- CVE-2011-1720
ヒープベースの読み出しのみのバッファオーバフローのため、悪意を 持ったクライアントが、細工した SASL 認証リクエストを送って smtpd サーバをクラッシュ可能です。
旧安定版 (oldstable) ディストリビューション (lenny) では、この問題は バージョン 2.5.5-1.1+lenny1 で修正されています。
安定版 (stable) ディストリビューション (squeeze) では、この問題はバー ジョン 2.7.1-1+squeeze1 で修正されています。
不安定版 (unstable) ディストリビューション (sid) では、この問題はバー ジョン 2.8.0-1 で修正されています。
直ぐに postfix パッケージをアップグレードすることを勧めます。
- CVE-2009-2939