Fetchmail无效警告消息本地拒绝服务漏洞

漏洞信息详情

Fetchmail无效警告消息本地拒绝服务漏洞

• CNNVD编号：CNNVD-200708-424
• 危害等级： 中危
  
  
• CVE编号：
  CVE-2007-4565
  
• 漏洞类型：
  
  
  设计错误
  
• 发布时间：
  
  2007-08-27
  
• 威胁类型：
  
  
  远程
  
• 更新时间：
  
  2009-08-19
  
• 厂        商：
  
  fetchmail
• 漏洞来源：
  Matthias Andree※ m…

Fetchmail是免费的软件包，可以从远程POP2、POP3、IMAP、ETRN或ODMR服务器检索邮件并将其转发给本地SMTP、LMTP服务器或消息传送代理。

在某些情况下Fetchmail会生成警告消息并发送给管理员信箱或启动Fetchmail的用户，例如，当登录到上游服务器反复失败或消息超过大小限制时就会生成这样的消息。如果之后Fetchmail将消息转发到的SMTP监听程序拒绝了这个警告消息，在试图确定是否应发送bounce消息时会引用空指针，导致Fetchmail崩溃，在重启之前不会再收集任何消息。

目前厂商已经发布了升级补丁以修复这个安全问题，补丁下载链接：

http://fetchmail.berlios.de/

Index: sink.c

===================================================================

— sink.c (revision 5118)

+++ sink.c (revision 5119)

@@ -262,7 +262,7 @@

const char *md1 = “MAILER-DAEMON”, *md2 = “MAILER-DAEMON@”;

/* don’t bounce in reply to undeliverable bounces */

– if (!msg->return_path[0] ||

+ if (!msg || !msg->return_path[0] ||

strcmp(msg->return_path, “<>”) == 0 ||

strcasecmp(msg->return_path, md1) == 0 ||

strncasecmp(msg->return_path, md2, strlen(md2)) == 0)

来源: mknod.org

链接:http://mknod.org/svn/fetchmail/branches/BRANCH_6-3/fetchmail-SA-2007-02.txt

来源: BUGTRAQ

名称: 20080617 fetchmail security announcement fetchmail-SA-2007-02 (CVE-2007-4565)

链接:http://www.securityfocus.com/archive/1/archive/1/493388/100/0/threaded

来源: VUPEN

名称: ADV-2009-0422

链接:http://www.frsirt.com/english/advisories/2009/0422

来源: support.apple.com

链接:http://support.apple.com/kb/HT3438

来源: SECUNIA

名称: 33937

链接:http://secunia.com/advisories/33937

来源: OSVDB

名称: 45833

链接:http://osvdb.org/45833

来源: APPLE

名称: APPLE-SA-2009-02-12

链接:http://lists.apple.com/archives/security-announce/2009/Feb/msg00000.html

来源: issues.rpath.com

链接:https://issues.rpath.com/browse/RPL-1690

来源: XF

名称: fetchmail-warning-dos(36385)

链接:http://xforce.iss.net/xforce/xfdb/36385

来源: UBUNTU

名称: USN-520-1

链接:http://www.ubuntu.com/usn/usn-520-1

来源: TRUSTIX

名称: 2007-0028

链接:http://www.trustix.org/errata/2007/0028/

来源: SECTRACK

名称: 1018627

链接:http://www.securitytracker.com/id?1018627

来源: BID

名称: 25495

链接:http://www.securityfocus.com/bid/25495

来源: BUGTRAQ

名称: 20070907 FLEA-2007-0053-1 fetchmail

链接:http://www.securityfocus.com/archive/1/archive/1/478798/100/0/threaded

来源: MANDRIVA

名称: MDKSA-2007:179

链接:http://www.mandriva.com/security/advisories?name=MDKSA-2007:179

来源: VUPEN

名称: ADV-2007-3032

链接:http://www.frsirt.com/english/advisories/2007/3032

来源: DEBIAN

名称: DSA-1377

链接:http://www.debian.org/security/2007/dsa-1377

来源: SREASON

名称: 3074

链接:http://securityreason.com/securityalert/3074

来源: SECUNIA

名称: 27399

链接:http://secunia.com/advisories/27399

来源: SUSE

名称: SUSE-SR:2007:022

链接:http://lists.opensuse.org/opensuse-security-announce/2007-10/msg00008.html