Avis du CERT-FR
Objet : Vulnérabilité dans Courier-IMAP
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service
- Exécution de code arbitraire à distance
Systèmes affectés
- Courier Mail Server 0.x ;
- Courier-IMAP versions 1.x ;
- Courier-IMAP versions 2.x.
Résumé
Une vulnérabilité présente dans Courier-IMAP peut être exploitée par un utilisateur mal intentionné pour réaliser un déni de service ou exécuter du code arbitraire.
Description
Courier-IMAP est un serveur de mail IMAP/POP.
Une vulnérabilité de type « chaîne de format » (format string) est présente dans la fonction auth_debug() utilisée pour le débogage du login dans le logiciel Courier-IMAP.
Ce débogage n'est pas activé par défaut.
Contournement provisoire
Désactiver le mode de débogage du login en mettant le paramètre DEBUG_LOGIN=0 dans le fichier de configuration.
Solution
Mettre à jour Courier-IMAP avec la version 3.0.7.
Documentation
-
Bulletin de sécurité FreeBSD pour courier-imap du 22 août 2004 :
http://www.vuxml.org/freebsd -
Bulletin de sécurité Gentoo GLSA 200408-19 du 19 août 2004 :
http://www.gentoo.org/security/en/glsa/glsa-200408-19.xml -
Bulletin de sécurité de iDefense du 18 août 2004 :
http://www.idefense.com/application/poi/display?id=131&type=vulnerabilities
Gestion détaillée du document
| Date | Description |
|---|---|
| 25 août 2004 | version initiale. |
| 30 août 2004 | ajout des références aux bulletins de sécurité Gentoo et FreeBSD ainsi que de la référence CVE. |