Avis du CERT-FR
Objet : Vulnérabilités dans procmail
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Élévation de privilèges
Systèmes affectés
Versions de procmail antérieures à la version 3.15.2. La version 3.15.2 n'est pas vulnérable.
Résumé
De multiples vulnérabilités présentes dans le code de gestion des signaux peuvent permettre à un utilisateur mal intentionné d'obtenir les droits de l'administrateur root.
Description
Procmail est un programme permettant de réaliser des traitements automatiques sur les méls (filtrage, réponse automatique, etc).
De multiples vulnérabilités présentes dans le code de gestion des signaux (code non réentrant), peuvent être exploitées par un utilisateur mal intentionné afin d'obtenir les droits de l'administrateur root.
Ces vulnérabilités ne sont exploitables qu'en local. Les privilèges root ne peuvent être obtenus que si la commande procmail est installée avec le drapeau suid root positionné, ce qui n'est pas le cas sur tous les systèmes.
Solution
Il est conseillé d'installer la dernière version de procmail disponible sur le site
http://www.procmail.org
.
Certains éditeurs diffusent des paquetages pour leurs distributions (cf section Documentation).
Gestion détaillée du document
| Date | Description |
|---|---|
| 22 octobre 2001 | version initiale. |