Ingo Procmail驱动Shell命令执行漏洞

漏洞信息详情

Ingo Procmail驱动Shell命令执行漏洞

• CNNVD编号：CNNVD-200610-378
• 危害等级： 中危
  
  
• CVE编号：
  CVE-2006-5449
  
• 漏洞类型：
  
  
  输入验证
  
• 发布时间：
  
  2006-10-23
  
• 威胁类型：
  
  
  远程
  
• 更新时间：
  
  2006-10-24
  
• 厂        商：
  
  horde
• 漏洞来源：
  Jan Schneider※ jan…

Ingo是一款邮件过滤规则管理器，集成于Horde和IMP Webmail客户端。

Ingo的procmail驱动没有正确地转义文件夹名称，远程攻击者可能利用此漏洞执行任意Shell命令。

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：

DSA-1204-1：New ingo1 packages fix arbitrary shell command execution

链接：

http://www.debian.org/security/2005/dsa-1204

补丁下载：

Source archives:

Horde Ingo 1.0.1

Debian ingo1_1.0.1-1sarge1_all.deb

Debian GNU/Linux 3.1 alias sarge

http://security.debian.org/pool/updates/main/i/ingo1/ingo1_1.0.1-1sarg e1_all.deb

Horde Ingo 1.1.1

Horde Horde Ingo 1.1.2

http://lists.horde.org/archives/announce/2006/000296.html

补丁安装方法：

1. 手工安装补丁包：

首先，使用下面的命令来下载补丁软件：

# wget url(url是补丁下载链接地址)

然后，使用下面的命令来安装补丁：

# dpkg -i file.deb (file是相应的补丁名)

2. 使用apt-get自动安装补丁包：

首先，使用下面的命令更新内部数据库：

# apt-get update

然后，使用下面的命令安装更新软件包：

# apt-get upgrade

http://www.debian.org/security/2006/dsa-1204

来源: BID

名称: 20637

链接:http://www.securityfocus.com/bid/20637

来源: VUPEN

名称: ADV-2006-4124

链接:http://www.frsirt.com/english/advisories/2006/4124

来源: SECUNIA

名称: 22482

链接:http://secunia.com/advisories/22482

来源: MLIST

名称: [horde-announce] 20061018 Ingo H3 (1.1.2) (final)

链接:http://lists.horde.org/archives/announce/2006/000296.html

来源: bugs.horde.org

链接:http://bugs.horde.org/ticket/?Horde=6ed1a009f3396864553976a45948339e&id=4513

来源: GENTOO

名称: GLSA-200611-22

链接:http://www.gentoo.org/security/en/glsa/glsa-200611-22.xml

来源: DEBIAN

名称: DSA-1204

链接:http://www.debian.org/security/2006/dsa-1204

来源: SECUNIA

名称: 23100

链接:http://secunia.com/advisories/23100

来源: SECUNIA

名称: 22656

链接:http://secunia.com/advisories/22656