Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
getmail <= 4.44.0 Betroffene Plattformen: Extra Packages for Red Hat Enterprise Linux 6 Mehrere Schwachstellen in getmail ermöglichen einem entfernten, nicht authentifizierten Angreifer einen Man-in-the-Middle-Angriff durchzuführen und darüber sensitive Informationen auszuspähen. Patch: Fedora Security Update FEDORA-EPEL-2014-3264 https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-3264/getmail-4.46.0-2.el6
CVE-2014-7275: Schwachstelle in der Zertifikatsüberprüfung von getmail
POP3-over-SSL
Eine Schwachstelle in der POP3-over-SSL Implementation von getmail führt
dazu, dass X509 Zertifikate von SSL Servern nicht überprüft werden. Ein
entfernter, nicht authentifizierter Angreifer kann durch ein präpariertes
Zertifikat einen POP3 Server vortäuschen, einen Man-in-the-Middle-Angriff
durchführen und sensitive Informationen ausspähen.
CVE-2014-7274: Schwachstelle in der Zertifikatsüberprüfung in getmail
IMAP-over-SSL
Eine Schwachstelle in der Zertifikatsüberprüfung der IMAP-over-SSL
Implementierung von getmail führt dazu, dass nicht geprüft wird, ob der
Server Hostname mit einem Domainnamen im Common Name (CN) Feld des
Zertifikates übereinstimmt. Ein entfernter, nicht authentifizierter
Angreifer kann durch ein präpariertes Zertifikat, dass von einer gültigen CA
ausgestellt wurde, einen Man-in-the-Middle-Angriff durchführen.
CVE-2014-7273: Man-in-the-Middle-Schwachstelle in getmail IMAP-over-SSL
Eine Schwachstelle in der IMAP-over-SSL Implementierung von getmail führt
dazu, das X509 Zertifikate von Servern nicht überprüft werden. Ein
entfernter, nicht authentifizierter Angreifer kann durch ein präpariertes
X509 Zertifikat einen Man-in-the-Middle-Angriff durchführen und sensitive
Informationen ausspähen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1325/
Schwachstelle CVE-2014-7273 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7273
Schwachstelle CVE-2014-7274 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7274
Schwachstelle CVE-2014-7275 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7275
Fedora Security Update FEDORA-EPEL-2014-3264:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-3264/getmail-4.46.0-2.el6
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
