—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1

Liebe Kolleginnen und Kollegen,

soeben erreichte uns nachfolgendes Fedora Security Advisory. Wir geben
diese Informationen unveraendert an Sie weiter.

CVE-2009-4023 – Unzureichende Pruefung des $from Parameters in der PEAR
Mail::Send() Methode

Die Mail::Send() Methode aus dem PEAR Mail/sendmail.php Script
ueberprueft den $from Parameter nicht ausreichend auf evtl. enthaltene
Metazeichen, so dass entfernte Angreifer beliebige Optionen an das
sendmail Kommando uebergeben koennen. Dies fuehrt dazu, dass die
Angreifer beliebige Dateien im System auslesen oder ueberschreiben
koennen. Die Schwachstelle kann nur ausgenutzt werden, wenn sendmail
als MTA verwendet wird.

CVE-2009-4111 – Unzureichende Pruefung des $recipients Parameters im
PEAR Mail/sendmail.php Script

Das PEAR Mail/sendmail.php Script ueberprueft den $recipients Parameter
nicht ausreichend auf evtl. enthaltene Metazeichen, so dass entfernte
Angreifer beliebige Optionen an das sendmail Kommando uebergeben
koennen. Dies fuehrt dazu, dass die Angreifer beliebige Dateien im
System auslesen oder ueberschreiben koennen. Die Schwachstelle kann nur
ausgenutzt werden, wenn sendmail als MTA verwendet wird.

Betroffen sind die folgenden Software Pakete und Plattformen:

Paket php

Fedora 10
Fedora 11
Fedora 12

Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.

Hersteller Advisory:
https://www.redhat.com/archives/fedora-package-announce/2009-December/msg00131.html
https://www.redhat.com/archives/fedora-package-announce/2009-December/msg00030.html
https://www.redhat.com/archives/fedora-package-announce/2009-December/msg00075.html

(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.

Mit freundlichen Gruessen,
Klaus Moeller, DFN-CERT

– —
Dipl. Inform. Klaus Moeller (Incident Response Team)
Phone: +49 40 808077-555, Fax: +49 40 808077-556

DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-555
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrase 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski

– ——————————————————————————–
Fedora Update Notification
FEDORA-2009-12395
2009-12-01 03:21:54
– ——————————————————————————–

Name : php-pear-Mail
Product : Fedora 12
Version : 1.1.14
Release : 5.fc12
URL : http://pear.php.net/package/Mail
Summary : Class that provides multiple interfaces for sending emails
Description :
PEAR’s Mail package defines an interface for implementing mailers under the
PEAR hierarchy. It also provides supporting functions useful to multiple
mailer backends. Currently supported backends include: PHP’s native
mail() function, sendmail, and SMTP. This package also provides a RFC822
email address list validation utility class.

– ——————————————————————————–
Update Information:

Fix CVE-2009-4023, CVE-2009-4111 PEAR’s Mail class did not properly escape
content of mail header fields, when using the sendmail backend. A remote
attacker could send an email message, with specially-crafted headers to local
user, leading to disclosure of content and potentially, to modification of
arbitrary system file, once the email message was processed by the PEAR’s Mail
class.
– ——————————————————————————–
ChangeLog:

* Fri Nov 27 2009 Remi Collet 1.1.14-5
– – Fix CVE-2009-4023 (#540842)
– – rename Mail.xml to php-pear-Mail.xml
– ——————————————————————————–
References:

[ 1 ] Bug #540842 – CVE-2009-4023 php-pear-Mail: Absent sanitization of mail header fields
https://bugzilla.redhat.com/show_bug.cgi?id=540842
– ——————————————————————————–

This update can be installed with the “yum” update program. Use
su -c ‘yum update php-pear-Mail’ at the command line.
For more information, refer to “Managing Software with yum”,
available at http://docs.fedoraproject.org/yum/.

All packages are signed with the Fedora Project GPG key. More details on the
GPG keys used by the Fedora Project can be found at
http://fedoraproject.org/keys
– ——————————————————————————–

—–BEGIN PGP SIGNATURE—–
Version: GnuPG v1.4.2 (GNU/Linux)

iD8DBQFLFRHLk0kIxZMiiQ8RAiaGAKCizRsAMeJaA5DfnMX7k6D2eAhLygCfWH4+
RbBx2hdKLh9Qubt2gj47ksE=
=K2eP
—–END PGP SIGNATURE—–