GLSA 200804-24: DBmail: Data disclosure

http://security.gentoo.org/

Опасность:	низкая
Заголовок:	DBmail: Data disclosure
Дата:	18.04.2008
Ошибки:	#218154
ID:	200804-24

Сводка

A vulnerability in DBMail could allow for passwordless login to any account under certain configurations.

Назначение

DBMail is a mail storage and retrieval daemon that uses SQL databases as its data store. IMAP and POP3 can be used to retrieve mails from the database.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
net-mail/dbmail	< 2.2.9	>= 2.2.9	All supported architectures

Описание

A vulnerability in DBMail's authldap module when used in conjunction with an Active Directory server has been reported by vugluskr. When passing a zero length password to the module, it tries to bind anonymously to the LDAP server. If the LDAP server allows anonymous binds, this bind succeeds and results in a successful authentication to DBMail.

Воздействие

By passing an empty password string to the server, an attacker could be able to log in to any account.

Обход

There is no known workaround at this time.

Решение

All DBMail users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=net-mail/dbmail-2.2.9"

Ссылки

CVE-2007-6714

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200804-24.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.