Avis du CERT-FR

Description

Sendmail, logiciel de routage de messages électroniques, peut collecter des informations sur des machines (fonctionnalité DNS MAPS) au moyen de requêtes DNS.

Une vulnérabilité de type débordement de mémoire présente dans le traitement de ces requêtes DNS permet à un utilisateur mal intentionné contrôlant un serveur DNS hostile de réaliser un déni de service par arrêt du serveur de messagerie sendmail.

Il est à noter que cette vulnérabilité n'est exploitable que si la primitive FEATURE('enhdnsbl') est présente dans le fichier de configuration de sendmail.

Solution

Installer sendmail 8.12.9 disponible sur le site sendmail.org :

http://www.sendmail.org/dnsmap1.html

ou appliquer le correctif de l'éditeur :

• Bulletin de sécurité MDKSA-2003:086 de Mandrake :

  http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2003:086
  

• Bulletin de sécurité SuSE-SA:2003:035 de SuSE :

  http://www.suse.com/de/security/2003_035_sendmail.html
  

• Bulletin de sécurité 20030803-01-P de SGI :

  ftp://patches.sgi.com/support/free/security/advisories/20030803-01-P
  

• Bulletin de sécurité FreeBSD-SA-03:11 de FreeBSD :

  ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-03:11.sendmail.asc
  

• Bulletin de sécurité RHSA-2003:265 de Red Hat :

  http://rhn.redhat.com/errata/RHSA-2003-265.html
  

• Bulletin de sécurité d'OpenBSD :

  http://www.openbsd.org/errata32.html#sendmail3