Conditions d'utilisation de ce document :	http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document :	http://www.certa.ssi.gouv.fr/site/CERTA-2002-AVI-229

Gestion du document

Tableau 1: gestion du document

Référence	CERTA-2002-AVI-229-001
Titre	Vulnérabilité de fetchmail
Date de la première version	15 octobre 2002
Date de la dernière version	31 octobre 2002
Source(s)	-
Pièce(s) jointe(s)	Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Déni de service ;
exécution de code arbitraire.

2 Systèmes affectés

Toutes les versions de fetchmail antérieures à la version 6.1.0.

3 Résumé

Plusieurs vulnérabilités de type débordement de mémoire dans le paquetage fetchmail permettent à un utilisateur mal intentionné de réaliser un déni de service ou d'exécuter du code arbitraire sur la machine cible.

4 Description

fetchmail est un outil permettant la récupération de messages électroniques sur un serveur distant et la transmission du message à un routeur de méls.

Plusieurs vulnérabilités dans le code de fetchmail gérant la gestion des en-têtes méls permettent à un utilisateur mal intentionné de réaliser un deni de service ou d'exécuter du code arbitraire sur la machine cible, avec les droits de l'utilisateur lançant fetchmail (éventuellement l'utilisateur root selon les configurations).

5 Solution

Installer le paquetage fetchmail version 6.1.0 ou supérieure.

6 Documentation

Avis de sécurité RedHat Linux RHSA-2002:215-09
```
http://rhn.redhat.com/errata/RHSA-2002-215.html
```
Avis de sécurité de Debian GNU/Linux DSA 171-1
```
http://www.debian.org/security/2002/dsa-171
```

Avis de sécurité de Mandrake Linux MDKS-2002-063

http://www.mandrakesecure.net/en/advisories/2002/MDKSA-2002-063.php

Avis de sécurité de Sun 47784
```
http://sunsolve.sun.com
```

Gestion détaillée du document

15 octobre 2002: version initiale.
31 octobre 2002: ajout des vulérabilités Mandrake et Sun.

CERTA
2012-01-04

Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information

webmestre

Dernière mise à jour : le 22/05/2012

Centre d'Expertise Gouvernemental de Réponse et de Traitement des Attaques informatiques

Centre d'Expertise Gouvernemental de
Réponse et de Traitement des Attaques informatiques