Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 低于 1.14.3 版的 Mutt 允许通过 PREAUTH 响应进行 IMAP fcc/postpone 中间人攻击。
    (CVE-2020-14093)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 mutt 版本低于 1.5.21-29。因此，如公告 ALAS2-2022-1892 所述，受到多个漏洞的影响。

  - 低于 1.14.3 版的 Mutt 允许通过 PREAUTH 响应进行 IMAP fcc/postpone 中间人攻击。
    (CVE-2020-14093)

  - 低于 1.14.3 版的 Mutt 继续进行连接，即使用户为响应 GnuTLS 证书提示而拒绝了过期的中间证书。(CVE-2020-14154)

  - 低于 1.14.4 版的 Mutt 和低于 2020-06-19 版的 NeoMutt 存在一个影响 IMAP、SMTP 和 POP3 的 STARTTLS 缓冲问题。当服务器发送开始 TLS 响应时，客户端会读取其他数据（如来自中间人攻击者），并在 TLS 上下文中评估这些数据，也称为响应注入。(CVE-2020-14954)

  - 如果 IMAP 服务器的初始服务器响应无效，则 Mutt 2.0.2 之前版本和 NeoMutt 2020-11-20 之前版本无法确保处理 $ssl_force_tls。未正确关闭连接，代码可继续尝试身份验证。这可导致身份验证凭据在未加密的连接或中间机上暴露。(CVE-2020-28896)

  - 在 2.0.4 之前的 Mutt 中，rfc822.c 允许远程攻击者通过发送 RFC822 地址字段中具有分号字符序列的电子邮件消息来造成拒绝服务（邮箱不可用）（又称空群组终止符）。来自攻击者的少量电子邮件消息可造成大量内存消耗，然后受害者可能无法查看来自其他人的电子邮件消息。(CVE-2021-3181)

  - Mutt 0.94.13 至 2.2.3 之间的所有版本的 uudecoder 中都存在缓冲区溢出漏洞，该漏洞允许读取超出输入行末尾的内容 (CVE-2022-1328)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Damian Poddebniak 和 Fabian Ising 在处理 Mutt 邮件客户端的 STARTTLS 时发现两个安全问题，这些问题会造成 MITM 攻击。

在控制台电子邮件客户端 mutt 中发现两个漏洞。

CVE-2020-14093

Mutt 允许通过 PREAUTH 响应进行 IMAP fcc/postpone 中间人攻击。

CVE-2020-14954

Mutt 存在一个影响 IMAP、SMTP 和 POP3 的 STARTTLS 缓冲问题。当服务器发送“开始 TLS”响应时，客户端会读取其他数据（如来自中间人攻击者的数据），并在 TLS 上下文中评估这些数据，也称为“响应注入”。

在 Debian jessie 中，mutt 源程序包会构建两个 mutt 变体：
mutt 和 mutt-patched。

之前的程序包版本（1.5.23-3 + deb8u2，DLA-2268-1）针对上方提及的问题提供了修复程序，但这些修复程序仅适用于 mutt-patched 程序包构建，而不适用于 (vanilla) mutt 程序包构建。

对于 Debian 8“Jessie”，已在版本 1.5.23-3+deb8u3 中修复此问题。

建议您升级 mutt 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程主机受到 GLSA-202007-57 中所述漏洞的影响（Mutt、Neomutt：多个漏洞）

    已在 Mutt 和 Neomutt 中发现多个漏洞。
      请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    请查看供参考的 CVE 标识符，了解详细信息。
  变通方案：

    目前无任何已知的变通方案。

Damian Poddebniak 和 Fabian Ising 在处理 Neomutt 邮件客户端的 STARTTLS 时发现两个安全问题，这些问题会造成 MITM 攻击。

发现 Mutt 未能正确处理某些请求。攻击者可能利用此问题启用 MITM 攻击。
(CVE-2020-14093) 发现 Mutt 未能正确处理某些请求。即使用户拒绝已过期的中间证书，攻击者也可能利用此问题进行连接。(CVE-2020-14154)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
223257	Linux Distros 未修补的漏洞: CVE-2020-14093	Nessus	Misc.	2025/3/4	2025/3/4	medium
168438	Amazon Linux 2：mutt (ALAS-2022-1892)	Nessus	Amazon Linux Local Security Checks	2022/12/7	2024/12/11	medium
137675	Debian DSA-4707-1：mutt - 安全更新	Nessus	Debian Local Security Checks	2020/6/22	2020/6/30	medium
137911	Debian DLA-2268-2：mutt 回归更新	Nessus	Debian Local Security Checks	2020/7/1	2021/1/11	medium
139120	GLSA-202007-57 ：Mutt、Neomutt：多个漏洞	Nessus	Gentoo Local Security Checks	2020/7/30	2024/2/27	medium
137731	Debian DSA-4708-1：neomutt - 安全更新	Nessus	Debian Local Security Checks	2020/6/23	2020/6/30	medium
137745	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：Mutt 漏洞 (USN-4401-1)	Nessus	Ubuntu Local Security Checks	2020/6/23	2024/8/27	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium