针对 src: netqmail 报告了多个 CVE 错误。

CVE-2005-1513

在具有大量虚拟内存的 64 位平台上运行时，qmail 的 stralloc_readyplus 函数存在整数溢出，可允许远程攻击者通过大型 SMTP 请求造成拒绝服务并可能执行任意代码。

CVE-2005-1514

在具有大量虚拟内存的 64 位平台上运行时，qmail 中的 commands.c 可允许远程攻击者通过不带空格字符的长 SMTP 命令造成拒绝服务，并且可能执行任意代码，从而导致数组被负索引引用。

CVE-2005-1515

在具有大量虚拟内存的 64 位平台上运行时，qmail 的 qmail_put 和 substdio_put 函数存在整数符号错误，可允许远程攻击者通过大量的 SMTP RCPT TO 命令造成拒绝服务并可能执行任意代码。

CVE-2020-3811

netmail 中使用的 qmail-verify 1.06 容易受到邮件地址验证绕过漏洞的影响。

CVE-2020-3812

netmail 中使用的 qmail-verify 1.06 容易受到信息泄露漏洞的影响。本地攻击者可以在文件系统的任何位置中测试文件和目录是否存在，因为 qmail-verify 会以 root 用户的身份运行并会测试攻击者主目录中文件是否存在，而不会被提取终止权限。

对于 Debian 8“Jessie”，已在版本 1.06-6.2~deb8u1 中修复这些问题。

我们建议您升级 netqmail 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 Ubuntu 16.04 LTS/18.04 LTS 主机上安装的程序包受到 USN-4621-1 公告中提及的多个漏洞的影响。

  - 在具有大量虚拟内存的 64 位平台上运行时，qmail 的 stralloc_readyplus 函数存在整数溢出，可允许远程攻击者通过大型 SMTP 请求造成拒绝服务并可能执行任意代码。(CVE-2005-1513)

  - 在具有大量虚拟内存的 64 位平台上运行时，qmail 中的 commands.c 可允许远程攻击者通过不带空格字符的长 SMTP 命令造成拒绝服务，并且可能执行任意代码，从而导致数组被负索引引用。(CVE-2005-1514)

  - 在具有大量虚拟内存的 64 位平台上运行时，qmail 的 qmail_put 和 substdio_put 函数存在整数符号错误，可允许远程攻击者通过大量的 SMTP RCPT TO 命令造成拒绝服务并可能执行任意代码。(CVE-2005-1515)

  - netmail 中使用的 qmail-verify 1.06 容易受到邮件地址验证绕过漏洞的影响。
    (CVE-2020-3811)

  - netmail 中使用的 qmail-verify 1.06 容易受到信息泄露漏洞的影响。本地攻击者可以在文件系统的任何位置中测试文件和目录是否存在，因为 qmail-verify 会以根用户的身份运行并会测试攻击者主目录中文件是否存在，而不会被提取终止权限。 (CVE-2020-3812)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

Georgi Guninski 和 Qualys Research Labs 发现 qmail（在 Debian 中以带附加补丁的 netqmail 形式提供）中存在多个漏洞，这些漏洞可导致任意代码执行、邮件地址验证绕过和本地信息泄漏（无论文件是否存在）。

远程 Ubuntu 20.04 LTS 主机上安装的程序包受到 USN-4556-1 公告中提及的多个漏洞的影响。

  - 在具有大量虚拟内存的 64 位平台上运行时，qmail 的 stralloc_readyplus 函数存在整数溢出，可允许远程攻击者通过大型 SMTP 请求造成拒绝服务并可能执行任意代码。(CVE-2005-1513)

  - 在具有大量虚拟内存的 64 位平台上运行时，qmail 中的 commands.c 可允许远程攻击者通过不带空格字符的长 SMTP 命令造成拒绝服务，并且可能执行任意代码，从而导致数组被负索引引用。(CVE-2005-1514)

  - 在具有大量虚拟内存的 64 位平台上运行时，qmail 的 qmail_put 和 substdio_put 函数存在整数符号错误，可允许远程攻击者通过大量的 SMTP RCPT TO 命令造成拒绝服务并可能执行任意代码。(CVE-2005-1515)

  - netmail 中使用的 qmail-verify 1.06 容易受到邮件地址验证绕过漏洞的影响。
    (CVE-2020-3811)

  - netmail 中使用的 qmail-verify 1.06 容易受到信息泄露漏洞的影响。本地攻击者可以在文件系统的任何位置中测试文件和目录是否存在，因为 qmail-verify 会以根用户的身份运行并会测试攻击者主目录中文件是否存在，而不会被提取终止权限。 (CVE-2020-3812)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
137154	Debian DLA-2234-1：netqmail 安全更新	Nessus	Debian Local Security Checks	2020/6/5	2024/3/7	critical
142500	Ubuntu 16.04 LTS / 18.04 LTS：netqmail 漏洞 (USN-4621-1)	Nessus	Ubuntu Local Security Checks	2020/11/6	2024/2/9	critical
136837	Debian DSA-4692-1：netqmail - 安全更新	Nessus	Debian Local Security Checks	2020/5/26	2024/3/8	critical
141054	Ubuntu 20.04 LTS：netqmail 漏洞 (USN-4556-1)	Nessus	Ubuntu Local Security Checks	2020/9/30	2024/2/16	critical

检测

插件搜索

critical

critical

critical

critical