Debian DLA-2234-1：netqmail 安全更新

critical Nessus 插件 ID 137154

语言：

简介

远程 Debian 主机缺少安全更新。

描述

针对 src: netqmail 报告了多个 CVE 错误。

CVE-2005-1513

在具有大量虚拟内存的 64 位平台上运行时，qmail 的 stralloc_readyplus 函数存在整数溢出，可允许远程攻击者通过大型 SMTP 请求造成拒绝服务并可能执行任意代码。

CVE-2005-1514

在具有大量虚拟内存的 64 位平台上运行时，qmail 中的 commands.c 可允许远程攻击者通过不带空格字符的长 SMTP 命令造成拒绝服务，并且可能执行任意代码，从而导致数组被负索引引用。

CVE-2005-1515

在具有大量虚拟内存的 64 位平台上运行时，qmail 的 qmail_put 和 substdio_put 函数存在整数符号错误，可允许远程攻击者通过大量的 SMTP RCPT TO 命令造成拒绝服务并可能执行任意代码。

CVE-2020-3811

netmail 中使用的 qmail-verify 1.06 容易受到邮件地址验证绕过漏洞的影响。

CVE-2020-3812

netmail 中使用的 qmail-verify 1.06 容易受到信息泄露漏洞的影响。本地攻击者可以在文件系统的任何位置中测试文件和目录是否存在，因为 qmail-verify 会以 root 用户的身份运行并会测试攻击者主目录中文件是否存在，而不会被提取终止权限。

对于 Debian 8“Jessie”，已在版本 1.06-6.2~deb8u1 中修复这些问题。

我们建议您升级 netqmail 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。