[USN-520-1] fetchmail kwetsbaarheden

Ubuntu Security Notice USN-520-1          26 september 2007
fetchmail kwetsbaarheden
CVE-2007-1558, CVE-2007-4565

Ubuntu 6.06 LTS
Ubuntu 6.10
Ubuntu 7.04

Ubuntu 6.06 LTS

fetchmail 6.3.2-2ubuntu2.2

Ubuntu 6.10

fetchmail 6.3.4-1ubuntu4.2

Ubuntu 7.04

fetchmail 6.3.6-1ubuntu2.1

Een standaard systeem upgrade is over het algemeen voldoende om dit probleem te verhelpen.

Gaetan Leurent heeft een kwetsbaarheid ontdekt in het APOP protocol, gebaseerd op MD5 botsingen. Omdat fetchmail het APOP protocol ondersteunt kon deze kwetsbaarheid uitgebuit worden door aanvallers om een deel van de APOP gebruiker zijn/haar aanmeldgegevens te ontdekken. (CVE-2007-1558) Earl Chew heeft ontdekt dat fetchmail een NULL pointer kan de-referencen bij het contacteren van SMTP servers. Deze kwetsbaarheid kon uitgebuit worden door aanvallers die de SMTP server beheren om fetchmail te laten vastlopen en zodoende een dienstweigering (denial of service) te veroorzaken. (CVE-2007-4565)