S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 25 avril 2007 No CERTA-2007-AVI-189

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Courier-IMAP

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

Courier-IMAP 4.0.x versions antérieures à 4.0.6-r2.

3 Résumé

Une vulnérabilité dans Courier-IMAP permet à une personne malintentionnée d'exécuter du code arbitraire à distance.

4 Description

Une vulnérabilité présente dans Courier-IMAP est due à la vérification incorrecte de la variable XMAILDIR dans les scripts courier-imapd.indirect et courier-pop3d.indirect. Ceci permet à une personne malintentionnée d'exécuter du code arbitraire à distance avec les droits administrateur.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Gentoo GLSA-200704-18 du 22 avril 2007 :

  http://www.gentoo.org/security/en/glsa/glsa-200704-18.xml
  

• Référence CVE CVE-2007-2173 :

  http://nvd.nist.gov/nvd.cfm?cvename=CVE-2007-2173
  

Gestion détaillée du document

25 avril 2007

version initiale.