Debian DLA-489-1：ruby-mail 安全更新

high Nessus 插件 ID 91325

语言：

简介

远程 Debian 主机缺少安全更新。

描述

此安全更新修复了 ruby-mail 中的一个安全问题。建议您升级 ruby-mail 程序包。

Takeshi Terada (Mitsui Bussan Secure Directions, Inc.) 发布了一篇标题为“SMTP Injection via recipient email addresses”的白皮书 (http://www.mbsd.jp/Whitepaper/smtpi.pdf)。此白皮书中有一节专门讨论这种漏洞如何影响 'mail' ruby gem（请参阅第 3.1 节）。

如需详细数据，可查阅白皮书的相关内容，但是概括来说，'mail' ruby gem 模块容易受到收件人攻击是因为它不验证也不审查指定的收件人地址。
因此，白皮书第 2 章中所述的攻击可以照搬到 gem 上，无需任何修改。'mail' ruby gem 本身不针对电子邮件地址强制执行长度限制，因此，除非是应用程序端有限制，否则攻击者可以通过收件人地址发送冗长的垃圾邮件。此漏洞只影响缺少输入验证的应用程序。

对于 Debian 7“Wheezy”，这些问题已在 2.4.4-2+deb7u1 版本中修复。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。