Avis du CERT-FR
Objet : Multiples vulnérabilités dans Eudora
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire
Systèmes affectés
Versions d'Eudora pour Windows antérieures à la version 6.0.1.
Résumé
Trois vulnérabilités découvertes dans Eudora pour Windows permettent l'exécution de code arbitraire.
Description
Une vulnérabilité est présente lorsque l'on répond à l'expéditeur et à tous les destinataires (Reply To All) d'un message dont le champ From ou Reply-To contient un nombre de caractères important dans le nom. Par le biais d'un message habilement constitué, un utilisateur mal intentionné peut ainsi exécuter du code arbitraire.
Une vulnérabilité est présente dans le traitement des noms des fichiers joints au message. Un utilisateur mal intentionné peut exécuter du code arbitraire en envoyant un message contenant un fichier dont le nom dépasse 250 caractères.
Une vulnérabilité permet de faire afficher un nom de fichier différent de celui réellement attaché. Cette vulnérabilité n'est pas corrigée à ce jour.
Solution
Installer la version 6.0.1 d'Eudora téléchargeable à l'adresse suivante :
http://www.eudora.com/download
La version 6.0.1 ne corrige pas la vulnérabilité sur l'affichage du nom de fichier.
Documentation
-
Avis de sécurité SNS No.69
http://www.lac.co.jp/security/english/snsadv_e/69_e.html
Gestion détaillée du document
| Date | Description |
|---|---|
| 14 novembre 2003 | version initiale. |