发现 Mutt 未能正确处理某些请求。攻击者可能利用此问题启用 MITM 攻击。
(CVE-2020-14954) 此更新还解决了上次更新中造成的回归 USN-4401-1。此问题仅影响 Ubuntu 12.04 ESM、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 19.10。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程主机上安装的 mutt 版本低于 1.5.21-29。因此，如公告 ALAS2-2022-1892 所述，受到多个漏洞的影响。

  - 低于 1.14.3 版的 Mutt 允许通过 PREAUTH 响应进行 IMAP fcc/postpone 中间人攻击。
    (CVE-2020-14093)

  - 低于 1.14.3 版的 Mutt 继续进行连接，即使用户为响应 GnuTLS 证书提示而拒绝了过期的中间证书。(CVE-2020-14154)

  - 低于 1.14.4 版的 Mutt 和低于 2020-06-19 版的 NeoMutt 存在一个影响 IMAP、SMTP 和 POP3 的 STARTTLS 缓冲问题。当服务器发送开始 TLS 响应时，客户端会读取其他数据（如来自中间人攻击者），并在 TLS 上下文中评估这些数据，也称为响应注入。(CVE-2020-14954)

  - 如果 IMAP 服务器的初始服务器响应无效，则 Mutt 2.0.2 之前版本和 NeoMutt 2020-11-20 之前版本无法确保处理 $ssl_force_tls。未正确关闭连接，代码可继续尝试身份验证。这可导致身份验证凭据在未加密的连接或中间机上暴露。(CVE-2020-28896)

  - 在 2.0.4 之前的 Mutt 中，rfc822.c 允许远程攻击者通过发送 RFC822 地址字段中具有分号字符序列的电子邮件消息来造成拒绝服务（邮箱不可用）（又称空群组终止符）。来自攻击者的少量电子邮件消息可造成大量内存消耗，然后受害者可能无法查看来自其他人的电子邮件消息。(CVE-2021-3181)

  - Mutt 0.94.13 至 2.2.3 之间的所有版本的 uudecoder 中都存在缓冲区溢出漏洞，该漏洞允许读取超出输入行末尾的内容 (CVE-2022-1328)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Damian Poddebniak 和 Fabian Ising 在处理 Neomutt 邮件客户端的 STARTTLS 时发现两个安全问题，这些问题会造成 MITM 攻击。

远程 Ubuntu 18.04 LTS/20.04 LTS/22.04 LTS/24.04 LTS 主机上安装的一个程序包受到 USN-7204-1 公告中提及的多个漏洞影响。

    Jeriko One 发现 NeoMutt 未能正确处理某些 IMAP 和 POP3 响应。攻击者可能利用此问题致使 NeoMutt 崩溃，从而导致拒绝服务或执行任意代码。此问题仅影响 Ubuntu 18.04 LTS。（CVE-2018-14349、CVE-2018-14350、CVE-2018-14351、CVE-2018-14352、CVE-2018-14353、CVE-2018-14354、CVE-2018-14355、CVE-2018-14356、CVE-2018-14357、CVE-2018-14358、CVE-2018-14359、CVE-2018-14362）

    Jeriko One 发现 NeoMutt 未能正确处理某些与 NNTP 相关的操作。攻击者可能利用此问题致使 NeoMutt 崩溃，从而导致拒绝服务或执行任意代码。此问题仅影响 Ubuntu 18.04 LTS。（CVE-2018-14360、CVE-2018-14361、CVE-2018-14363）

    发现 NeoMutt 在与邮件服务器通信时，未能正确处理附加数据。
    攻击者可能利用此问题访问敏感信息。此问题仅影响 Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2020-14954, CVE-2020-28896)

    已发现 Neomutt 未正确处理 IMAP QRSync 设置。攻击者可能利用该问题造成 NeoMutt 崩溃，从而导致拒绝服务。此问题仅影响 Ubuntu 20.04 LTS。(CVE-2021-32055)

    Tavis Ormandy 发现 NeoMutt 未能正确解析超过字符串长度的 uuencode 文本。攻击者可能利用此问题能够执行任意代码。此问题只影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2022-1328)

    发现 NeoMutt 未能正确加密电子邮件标头。攻击者可能利用此问题接收未向他们发送的邮件并访问敏感信息。在 Ubuntu 20.04 LTS、Ubuntu 22.04 和 Ubuntu 24.04 LTS 中解决了此漏洞。（CVE-2024-49393、CVE-2024-49394）

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在控制台电子邮件客户端 mutt 中发现两个漏洞。

CVE-2020-14093

Mutt 允许通过 PREAUTH 响应进行 IMAP fcc/postpone 中间人攻击。

CVE-2020-14954

Mutt 存在一个影响 IMAP、SMTP 和 POP3 的 STARTTLS 缓冲问题。当服务器发送“开始 TLS”响应时，客户端会读取其他数据（如来自中间人攻击者的数据），并在 TLS 上下文中评估这些数据，也称为“响应注入”。

在 Debian jessie 中，mutt 源程序包会构建两个 mutt 变体：
mutt 和 mutt-patched。

之前的程序包版本（1.5.23-3 + deb8u2，DLA-2268-1）针对上方提及的问题提供了修复程序，但这些修复程序仅适用于 mutt-patched 程序包构建，而不适用于 (vanilla) mutt 程序包构建。

对于 Debian 8“Jessie”，已在版本 1.5.23-3+deb8u3 中修复此问题。

建议您升级 mutt 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 低于 1.14.4 版的 Mutt 和低于 2020-06-19 版的 NeoMutt 存在一个影响 IMAP、SMTP 和 POP3 的 STARTTLS 缓冲问题。当服务器发送开始 TLS 响应时，客户端会读取其他数据（如来自中间人攻击者），并在 TLS 上下文中评估这些数据，也称为响应注入。(CVE-2020-14954)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Damian Poddebniak 和 Fabian Ising 在处理 Mutt 邮件客户端的 STARTTLS 时发现两个安全问题，这些问题会造成 MITM 攻击。

远程主机受到 GLSA-202007-57 中所述漏洞的影响（Mutt、Neomutt：多个漏洞）

    已在 Mutt 和 Neomutt 中发现多个漏洞。
      请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    请查看供参考的 CVE 标识符，了解详细信息。
  变通方案：

    目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
137825	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：Mutt 漏洞和回归 (USN-4403-1)	Nessus	Ubuntu Local Security Checks	2020/6/25	2024/8/27	medium
168438	Amazon Linux 2：mutt (ALAS-2022-1892)	Nessus	Amazon Linux Local Security Checks	2022/12/7	2024/12/11	medium
137731	Debian DSA-4708-1：neomutt - 安全更新	Nessus	Debian Local Security Checks	2020/6/23	2020/6/30	medium
214221	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS：NeoMutt 漏洞 (USN-7204-1)	Nessus	Ubuntu Local Security Checks	2025/1/15	2025/1/15	critical
137911	Debian DLA-2268-2：mutt 回归更新	Nessus	Debian Local Security Checks	2020/7/1	2021/1/11	medium
223318	Linux Distros 未修补的漏洞: CVE-2020-14954	Nessus	Misc.	2025/3/4	2025/3/4	medium
137675	Debian DSA-4707-1：mutt - 安全更新	Nessus	Debian Local Security Checks	2020/6/22	2020/6/30	medium
139120	GLSA-202007-57 ：Mutt、Neomutt：多个漏洞	Nessus	Gentoo Local Security Checks	2020/7/30	2024/2/27	medium

检测

插件搜索

medium

medium

medium

critical

medium

medium

medium

medium