S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 23 juin 2006 No CERTA-2006-AVI-246-001

Affaire suivie par :

CERTA

Objet : vulnérabilité du serveur Sendmail

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Déni de service à distance.

2 Systèmes affectés

Sendmail en version antérieure à 8.13.7.

3 Résumé

Une vulnérabilité permet à un utilisateur distant mal intentionné d'effectuer un déni de service.

4 Description

Sendmail est un serveur de messagerie utilisé par défaut par certains Unix.

Une message MIME mal formé peut conduire à un déni de service de la file d'attente dans lequel il est reçu.

5 Solution

Mettre les sources à jour en version 8.13.7 au moins, ou se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité de Sendmail.com du 14 juin 2006 :

  http://www.sendmail.com/security/advisories/SA-200605-01.txt.asc
  

• Note de la version 8.13.7 du 14 juin 2006 :

  http://www.sendmail.org/releases/8.13.7.html
  

• Bulletin de sécurité Mandriva MDKSA-2006:104 du 14 juin 2006 :

  http://www.mandriva.com/security/advisories?name=MDKSA-2006:104
  

• Bulletin de sécurité RedHat RHSA-2006:0515 du 14 juin 2006 :

  http://rhn.redhat.com/errata/RHSA-2006-0515.html
  

• Bulletin de sécurité SUSE SuSE-SA:2006:032 du 14 juin 2006 :

  http://www.novell.com/linux/security/advisories/2006_32_sendmail.html
  

• Bulletin de sécurité Gentoo GLSA-200606-19 du 15 juin 2006 :

  http://www.gentoo.org/security/en/glsa/glsa-200606-19.xml
  

• Bulletin de sécurité FreeBSD SA-06:17.sendmail du 14 juin 2006 :

  ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-06:17.sendmail.asc
  

• Correctif de sécurité OpenBSD pour sendmail du 15 juin 2006 :

  http://openbsd.org/errata.html#sendmail
  

• Bulletin de sécurité NetBSD SA2006-017 du 14 juin 2006 :

  ftp://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2006-017.txt.asc
  

• Bulletin de sécurité IBM du 16 juin 2006 :

  https://www.auscert.org.au/render.html?it=6400
  

• Bulletin de sécurité HP du 15 juin 2006 :

  http://itrc.hp.com/service/cki/docDisplay.do?docId=c00692635
  

• Bulletin de sécurité Sun Solaris #102460 du 14 juin 2006

  http://sunsolve.sun.com/search/document.do?assetkey=1-26-102460-1
  

• Bulletin de sécurité Fortinet pour FortiMail du 30 mai 2006 :

  http://www.fortinet.com/FortiGuardCenter/advisory/FG-2006-18.html
  

• Référence CVE CAN-2006-1173 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2006-1173
  

Gestion détaillée du document

16 juin 2006

version initiale ;

23 juin 2006

ajout du bulletin de sécurité Fortinet.