Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 3 (21.11.2017):
Canonical stellt für die Distribution Ubuntu 12.04 LTS Precise Pangolin
ein Sicherheitsupdate für das Paket ‘procmail’ in Version 3.22 zur
Behebung der Schwachstelle bereit.
Version 2 (21.11.2017):
Ubuntu stellt für die Distributionen Ubuntu 17.10 Artful Aardvark, Ubuntu
17.04 Zesty Zapus, Ubuntu 16.04 LTS Xenial Xerus und Ubuntu 14.04 LTS
Trusty Tahr Sicherheitsupdates für das Paket ‘procmail’ in Version 3.22
zur Behebung der Schwachstelle bereit.
Version 1 (20.11.2017):
Neues Advisory
Betroffene Software:
Procmail <= 3.22 Betroffene Plattformen: Canonical Ubuntu Linux 12.04 LTS (ESM) Canonical Ubuntu Linux 14.04 LTS Canonical Ubuntu Linux 16.04 LTS Canonical Ubuntu Linux 17.04 Canonical Ubuntu Linux 17.10 Debian Linux 8.9 Jessie Debian Linux 9.2 Stretch Eine Schwachstelle in 'procmail' ermöglicht einem entfernten, nicht authentisierten Angreifer die Durchführung eines Denial-of-Service (DoS)-Angriffes oder möglicherweise die Ausführung beliebigen Programmcodes. Voraussetzung ist, dass das Opfer eine schädlich präparierte Email-Nachricht des Angreifers öffnet. Debian stellt für die Distributionen Debian Jessie 8.9 und Debian Stretch 9.2 Sicherheitsupdates zur Behebung der Schwachstelle zur Verfügung. Patch: Debian Security Advisory DSA-4041 https://www.debian.org/security/2017/dsa-4041
Patch:
Ubuntu Security Notice USN-3483-1
http://www.ubuntu.com/usn/usn-3483-1/
CVE-2017-16844: Schwachstelle in procmail ermöglicht u.a.
Denial-of-Service-Angriff
In der Funktion ‘loadbuf’ in der Datei ‘formisc.c’ existiert eine
Schwachstelle aufgrund einer fest kodierten ‘realloc’-Größe, wodurch es zu
einem Überlauf des Heap-Speichers (Heap-based Buffer-Overflow) bei der
Verarbeitung eines speziell präparierten Email-Headers kommen kann. In der
Folge kann es zu einem Absturz der Anwendung (Denial-of-Service, DoS) oder
möglicherweise zur Ausführung beliebigen Programmcodes kommen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-2081/
Schwachstelle CVE-2017-16844 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-16844
Debian Security Advisory DSA-4041:
https://www.debian.org/security/2017/dsa-4041
Ubuntu Security Notice USN-3483-1:
http://www.ubuntu.com/usn/usn-3483-1/
Ubuntu Security Notice USN-3483-2:
https://usn.ubuntu.com/usn/USN-3483-2
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
