Pileus Git - ~andy/fetchmail/blob - fetchmail-SA-2012-01.txt

   1 fetchmail-SA-2012-01: Denial of service possible in STARTTLS mode
   2
   3 Topics:         fetchmail denial of service in STARTTLS protocol phases
   4
   5 Author:         Matthias Andree
   6 Version:        draft
   7 Announced:      2012-04-06
   8 Type:           information disclosure under active attack
   9 Impact:         chosen plaintext attack theoretically possible
  10 Danger:         low
  11 Acknowledgment: Apple product security
  12
  13 CVE Name:       CVE-2011-3389
  14 URL:            http://www.fetchmail.info/fetchmail-SA-2012-01.txt
  15 Project URL:    http://www.fetchmail.info/
  16
  17 Affects:        - fetchmail releases 6.3.9 up to and including 6.3.21
  18
  19                 - Any fetchmail release when using OpenSSL versions
  20                   before 0.9.6i, or 0.9.7
  21
  22 Not affected:   - fetchmail releases 5.1.3 up to and including 6.3.8
  23                   but only when using sufficiently new OpenSSL releases
  24                 - fetchmail releases 6.3.22 and newer
  25                   but only when using sufficiently new OpenSSL releases
  26
  27                 Where "sufficiently new" means 0.9.6i or newer,
  28                 or 0.9.7a or newer, or higher numerical versions
  29                 such as 0.9.8, 1.0.0 (any letters)
  30
  31 Corrected in:   2012-04-06 Git, among others, see commit
  32                 4af941d4a4318ba3149316aaa7ffaf24bb959e93
  33
  34                 2012-04-06 fetchmail 6.3.22 release tarball
  35
  36
  37 0. Release history
  38 ==================
  39
  40 2012-04-06 1.0  release
  41
  42
  43 1. Background
  44 =============
  45
  46 fetchmail is a software package to retrieve mail from remote POP3, IMAP,
  47 ETRN or ODMR servers and forward it to local SMTP, LMTP servers or
  48 message delivery agents. fetchmail supports SSL and TLS security layers
  49 through the OpenSSL library, if enabled at compile time and if also
  50 enabled at run time, in both SSL/TLS-wrapped mode on dedicated ports as
  51 well as in-band-negotiated "STARTTLS" and "STLS" modes through the
  52 regular protocol ports.
  53
  54
  55 2. Problem description and Impact
  56 =================================
  57
  58 Fetchmail version 6.3.9 enabled "all SSL workarounds" (SSL_OP_ALL) which
  59 contains a switch to disable a countermeasure against certain attacks
  60 against block ciphers that permit guessing the initialization vectors,
  61 providing that an attacker can make the application (fetchmail) encrypt
  62 some data for him -- which is not easily the case.
  63
  64 Stream ciphers (such as RC4) are unaffected.
  65
  66 While the /practical/ impact of disabling this countermeasure is unclear
  67 at the moment, as a safety precation, the countermeasure is reenabled by
  68 default in fetchmail versions 6.3.22 and newer.
  69
  70 For technical details on the attack and countermeasure and affected
  71 OpenSSL versions, please see <http://www.openssl.org/~bodo/tls-cbc.txt>.
  72
  73
  74 3. Solution
  75 ===========
  76
  77 Install fetchmail 6.3.22 or newer.
  78
  79 The fetchmail source code is always available from
  80 <http://developer.berlios.de/project/showfiles.php?group_id=1824>.
  81
  82 Distributors are encouraged to review the NEWS file and move forward to
  83 6.3.22, rather than backport individual security fixes, because doing so
  84 routinely misses other fixes crucial to fetchmail's proper operation,
  85 for which no security announcements are issued, or documentation.
  86
  87 Fetchmail 6.3.X releases have always been made with a focus on unchanged
  88 user and program interfaces so as to avoid disruptions when upgrading
  89 from 6.3.X to 6.3.Y with Y > X.  Care was taken to not change the
  90 interface incompatibly.
  91
  92
  93 A. Copyright, License and Non-Warranty
  94 ======================================
  95
  96 (C) Copyright 2012 by Matthias Andree, <matthias.andree@gmx.de>.
  97 Some rights reserved.
  98
  99 This work is licensed under the Creative Commons Attribution-NoDerivs
 100 3.0 Germany License (CC BY-ND 3.0).
 101
 102 To view a copy of this license, visit
 103 http://creativecommons.org/licenses/by-nd/3.0/de/deed.en
 104 or send a letter to:
 105 Creative Commons, 444 Castro Street, Suite 900,
 106 Mountain View, California, 94041, USA.
 107
 108 THIS WORK IS PROVIDED FREE OF CHARGE AND WITHOUT ANY WARRANTIES.
 109 Use the information herein at your own risk.
 110
 111 END of fetchmail-SA-2012-01