Damian Lukowski discovered a flaw in spamassassin, a Perl-based spam filter using text analysis. Malicious rule configuration files, possibly downloaded from an updates server, could execute arbitrary commands under multiple scenarios.

遠端主機上安裝的 spamassassin 版本為 3.4.4-3 之前版本。因此受到 ALAS2-2021-1642 公告中所提及的一個弱點影響。

  - 在 Apache SpamAssassin 3.4.5 之前版本中，可以將惡意的規則組態 (.cf) 檔案設定為執行系統命令，而不會產生任何輸出或錯誤。如此，可以在多種情況下插入惡意利用。除了升級至 SA 3.4.5 版本之外，我們還建議使用者僅使用來自受信任位置的更新通道或第三方 .cf 檔案。(CVE-2020-1946)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機受到 GLSA-202105-26 中所述的弱點影響 (SpamAssassin：任意命令執行)

    據發現，SpamAssassin 未正確處理某些 CF 檔案。
  影響：

    遠端攻擊者可引誘使用者或自動化系統處理使用 SpamAssassin 的特製 CF 文件，進而可能導致以處理程序的權限執行任意命令，或造成拒絕服務情形。
  因應措施：

    目前尚無已知的因應措施。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Apache SpamAssassin 3.4.5 之前版本中，可以將惡意的規則組態 (.cf) 檔案設定為執行系統命令，而不會產生任何輸出或錯誤。如此，可以在多種情況下插入惡意利用。除了升級至 SA 3.4.5 版本之外，我們還建議使用者僅使用來自受信任位置的更新通道或第三方 .cf 檔案。(CVE-2020-1946)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Oracle Linux 8 主機上安裝的套件受到 ELSA-2021-4315 公告中提及的弱點影響。

  - 在 Apache SpamAssassin 3.4.5 之前版本中，可以將惡意的規則組態 (.cf) 檔案設定為執行系統命令，而不會產生任何輸出或錯誤。如此，可以在多種情況下插入惡意利用。除了升級至 SA 3.4.5 版本之外，我們還建議使用者僅使用來自受信任位置的更新通道或第三方 .cf 檔案。(CVE-2020-1946)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2021: 4315 公告中提及的一個弱點影響。

  - spamassassin：惡意規則組態檔案可設定為執行系統命令 (CVE-2020-1946)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2021: 4315 公告中提及的一个漏洞的影响。

  - spamassassin：恶意规则配置文件可被配置为运行系统命令 (CVE-2020-1946)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2021-4315 公告中提及的漏洞的影响。

  - 在 Apache SpamAssassin 3.4.5 之前的版本中，可以配置恶意规则配置 (.cf) 文件，在没有任何输出或错误的情况下运行系统命令。借此，可在多种场景中注入漏洞。除了升级至 SA 3.4.5，用户应仅使用来自受信任位置的更新渠道或第三方 .cf 文件。(CVE-2020-1946)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

远程主机受到 GLSA-202105-26 中所述漏洞的影响（SpamAssassin：任意命令执行）

    发现 SpamAssassin 未能正确处理某些 CF 文件。
  影响：

    远程攻击者可引诱用户或自动化系统处理使用 SpamAssassin 特别构建的 CF 文件，从而可能导致以当前程序的相关权限执行任意代码或造成拒绝服务情形。
  变通方案：

    目前无任何已知的变通方案。

远程主机上安装的 spamassassin 版本低于 3.4.4-3 版 。因此，该应用程序受到 ALAS2-2021-1642 公告中提及的漏洞的影响。

  - 在 Apache SpamAssassin 3.4.5 之前的版本中，可以配置恶意规则配置 (.cf) 文件，在没有任何输出或错误的情况下运行系统命令。借此，可在多种场景中注入漏洞。除了升级至 SA 3.4.5，用户应仅使用来自受信任位置的更新渠道或第三方 .cf 文件。(CVE-2020-1946)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Apache SpamAssassin 3.4.5 之前的版本中，可以配置恶意规则配置 (.cf) 文件，在没有任何输出或错误的情况下运行系统命令。借此，可在多种场景中注入漏洞。除了升级至 SA 3.4.5，用户应仅使用来自受信任位置的更新渠道或第三方 .cf 文件。(CVE-2020-1946)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
148212	Debian DSA-4879-1 : spamassassin - security update	Nessus	Debian Local Security Checks	2021/3/29	2021/4/2	critical
149861	Amazon Linux 2：spamassassin (ALAS-2021-1642)	Nessus	Amazon Linux Local Security Checks	2021/5/24	2024/12/11	critical
157029	GLSA-202105-26：SpamAssassin：任意程式碼執行	Nessus	Gentoo Local Security Checks	2022/1/24	2023/12/21	critical
223398	Linux Distros 未修補弱點：CVE-2020-1946	Nessus	Misc.	2025/3/4	2025/3/4	critical
155391	Oracle Linux 8：spamassassin (ELSA-2021-4315)	Nessus	Oracle Linux Local Security Checks	2021/11/17	2024/10/22	critical
155079	RHEL 8：spamassassin (RHSA-2021: 4315)	Nessus	Red Hat Local Security Checks	2021/11/11	2024/11/7	critical
155079	RHEL 8：spamassassin (RHSA-2021: 4315)	Nessus	Red Hat Local Security Checks	2021/11/11	2024/11/7	critical
155391	Oracle Linux 8：spamassassin (ELSA-2021-4315)	Nessus	Oracle Linux Local Security Checks	2021/11/17	2024/10/22	critical
157029	GLSA-202105-26：SpamAssassin：任意命令执行	Nessus	Gentoo Local Security Checks	2022/1/24	2023/12/21	critical
149861	Amazon Linux 2：spamassassin (ALAS-2021-1642)	Nessus	Amazon Linux Local Security Checks	2021/5/24	2024/12/11	critical
223398	Linux Distros 未修补的漏洞: CVE-2020-1946	Nessus	Misc.	2025/3/4	2025/3/4	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical