Avis du CERT-FR
Objet : Vulnérabilité dans SpamAssassin
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Déni de service
Systèmes affectés
SpamAssassin versions 3.0.3 et antérieures.
Résumé
Une vulnérabilité dans SpamAssassin permet à un utilisateur distant mal intentionné de provoquer un déni de service.
Description
SpamAssassin est un filtre de courrier électronique permettant l'élimination de pourriels (Spam). Une vulnérabilité dans la lecture des en-têtes de méls permet à un utilisateur distant mal intentionné de provoquer un déni de service par le biais d'un courrier électronique malicieusement constitué.
Solution
La version 3.0.4 corrige le problème. Elle est téléchargeable à l'adresse :
http://spamassassin.apache.org/downloads.cgi?update=200506061100
.
Documentation
-
Bulletin de sécurité Debian DSA-736 du 01 juillet 2005 :
http://www.debian.org/security/2005/dsa-736 -
Bulletin de sécurité FreeBSD pour p5-Mail-SpamAssassin du 18 juin 2005 :
http://www.vuxml.org/freebsd/pkg-p5-Mail-SpamAssassin.html -
Bulletin de sécurité Gentoo pour SpamAssassin du 21 juin 2005 :
http://www.gentoo.org/security/en/glsa/glsa-200506-17.xml -
Bulletin de sécurité Mandriva MDKSA-2005:106 du 28 juin 2005 :
http://www.mandriva.com/security/advisories?name=MDKSA-2005:106 -
Bulletin de sécurité OpenBSD pour p5-Mail-SpamAssassin du 10 juillet 2005 :
http://www.vuxml.org/openbsd/pkg-p5-Mail-SpamAssassin.html -
Bulletin de sécurité Red Hat RHSA-2005-498 du 23 juin 2005 :
https://rhn.redhat.com/errata/RHSA-2005-498.html -
Bulletin de sécurité SUSE SUSE-SA:2005:033 du 22 juin 2005 :
http://www.novell.com/linux/security/advisories/2005_33_spamassassin.html -
Liste des changement entre la version 3.0.3 et 3.0.4 de SpamAssassin :
http://wiki.apache.org/spamassassin/changes304 -
Mise à jour de sécurité pour Fedora Core 3 du 17 juin 2005 :
http://download.fedora.redhat.com/pub/fedora/linux/core/updates/3/ -
Mise à jour de sécurité pour Fedora Core 4 du 17 juin 2005 :
http://download.fedora.redhat.com/pub/fedora/linux/core/updates/4/
Gestion détaillée du document
| Date | Description |
|---|---|
| 17 juin 2005 | version initiale. |
| 20 juin 2005 | modification de la référence CVE et ajout de la référence au bulletin de sécurité FreeBSD. |
| 21 juin 2005 | ajout de la référence au bulletin de sécurité Gentoo. |
| 23 juin 2005 | ajout de la référence au bulletin de sécurité SUSE. |
| 24 juin 2005 | ajout de la référence au bulletin de sécurité RHSA-2005-498 de Red Hat. |
| 29 juin 2005 | ajout de la référence au bulletin de sécurité Mandriva. |
| 01 juillet 2005 | ajout de la référence au bulletin de sécurité Debian. |
| 11 juillet 2005 | ajout de la référence au bulletin de sécurité OpenBSD. |