Avis du CERT-FR
Objet : Vulnérabilité dans qmailadmin
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service à distance
- Exécution de code arbitraire à distance
Systèmes affectés
qmailadmin versions sources 1.2.8 et 1.2.9.
Résumé
Un utilisateur distant mal intentionné peut utiliser un lien réticulaire (URL) habilement construit pour exécuter du code arbitraire sur le système hôte du programme qmailadmin avec les droits de l'administrateur.
Description
qmailadmin est utilitaire de gestion par interface « web » des domaines virtuels d'un service de messagerie utilisant qmail. Ce programme est invoqué par un serveur « web » hôte.
Un débordement de tampon dans la gestion des informations sur la requête transmises par le serveur peut être utilisée pour exécuter du code arbitraire avec les privilèges du programme, soit root.
Contournement provisoire
Restreindre à l'accès à l'interface « web » d'administration à des systèmes de confiance au moyen d'un pare-feu ou de directives dans la configuration du serveur.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation) ou mettre à jour les sources en version 1.2.10 au moins.
Documentation
-
Bulletin de sécurité Secunia #19262 du 17 mars 2006 :
http://secunia.com/advisories/19262/ -
Site internet de qmailadmin :
http://www.inter7.com/index.php?page=qmailadmin
Gestion détaillée du document
| Date | Description |
|---|---|
| 22 mars 2006 | version initiale. |