Avis du CERT-FR

Json

Objet : Vulnérabilité de Courier

Gestion du document

Référence	CERTA-2005-AVI-494
Titre	Vulnérabilité de Courier
Date de la première version	19 décembre 2005
Date de la dernière version	19 décembre 2005
Source(s)	Bulletin de sécurité Debian DSA-917 du 08 décembre 2005

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Contournement de la politique de sécurité

Systèmes affectés

Courier Mail Server versions 0.52.1 et antérieures.

Résumé

Une vulnérabilité dans le serveur de messagerie Courier permet à un utilisateur distant mal intentionné de contourner la politique de sécurité du système.

Description

Une erreur dans le service d'authentification courier-authdaemon du serveur de messagerie Courier empêche une vérification correcte des utilisateurs autorisés à se connecter. Ainsi, il est possible d'utiliser le service de messagerie même avec un compte désactivé. Un utilisateur mal intentionné peut utiliser un compte de ce type pour se connecter frauduleusement à distance.

Solution

Se référer aux bulletins de sécurité des éditeurs pour l'obtention de correctifs (cf. Documentation).

Documentation

Bulletin de sécurité Debian DSA 917 du 08 décembre 2005 :
http://www.debian.org/security/dsa-917
Bulletin de sécurité Ubuntu USN-226-1 du 09 décembre 2005 :
http://www.ubuntulinux.org/usn/usn-226-1

Gestion détaillée du document

Date	Description
19 décembre 2005	version initiale.