Pileus Git - ~andy/fetchmail/blob - website/index.html

   1 <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"
   2     "http://www.w3.org/TR/html4/loose.dtd">
   3 <html>
   4 <head>
   5 <link rel="stylesheet" href="sitestyle.css" type="text/css">
   6 <meta name="description" content="The Fetchmail Project">
   7 <meta name="keywords" content="fetchmail, pop3, imap, email, mail">
   8 <meta name="MSSmartTagsPreventParsing" content="TRUE">
   9 <title>Fetchmail</title>
  10 </head>
  11 <body>
  12
  13 <div id="Header">
  14 <table width="100%" cellpadding="0" summary="Canned page header">
  15 <tr>
  16 <td>Fetchmail</td>
  17 <td align="right"><!-- update date -->2008-06-24</td>
  18 </tr>
  19 </table>
  20 </div>
  21
  22 <div id="Menu">
  23         <hr/>
  24         <a href="index.html" title="Main">Main</a><br />
  25         <a href="fetchmail-features.html">Features</a><br />
  26         <a href="fetchmail-man.html">Manual</a><br />
  27         <a href="fetchmail-FAQ.html" title="Fetchmail FAQ">FAQ</a><br />
  28         <a href="fetchmail-FAQ.pdf" title="Fetchmail FAQ as PDF">FAQ (PDF)</a><br />
  29         <a href="design-notes.html">Design Notes</a><br />
  30         <a href="http://developer.berlios.de/project/showfiles.php?group_id=1824">Download</a><br />
  31         <a href="http://mknod.org/svn/fetchmail/">Development Code</a><br />
  32         <a href="http://developer.berlios.de/projects/fetchmail/">Project Page</a><br />
  33         <hr/>
  34 </div>
  35
  36 <div id="Content">
  37
  38 <img src="bighand.png" width="100" height="71" alt="logo: a hand presenting an envelope" align="right" />
  39
  40 <h1>Fetchmail</h1>
  41 <!--
  42 <div style="background-color:#ffffff;color:#008000;"> <h1>fetchmail 6.3.6 release candidate #5</h1>
  43 <p>On 2006-12-19, <a
  44 href="http://mandree.home.pages.de/fetchmail/">fetchmail-6.3.6-rc5 was released</a>, fixing several annoying bugs. <a href="http://mandree.home.pages.de/fetchmail/NEWS-6.3.6-rc5.txt">Click here for details.</a></p> </div>
  45 -->
  46
  47 <div style="background-color:#80ff80;color:#000000;">
  48 <h1>ADDITIONAL FIXES FOR FETCHMAIL 6.3.8 RELEASE</h1>
  49 <p>New 2008-06-24 After the fetchmail-6.3.8 release described below,
  50 two denial-of-service vulnerabilities were discovered, but a new release
  51 is not yet available. Release candidates may be found at <a
  52     href="http://home.pages.de/~mandree/fetchmail/">http://home.pages.de/~mandree/fetchmail/</a>.
  53 Official patches for 6.3.8 are parts of the security
  54 announcements (you may need to use patch -l to apply them, this should
  55 tell patch to ignore whitespace differences):</p>
  56 <ul>
  57     <li><strong>(REVISED)</strong> <a href="#cve-2008-2711">CVE-2008-2711:</a> <a
  58         href="fetchmail-SA-2008-01.txt">fetchmail-SA-2008-01.txt</a></li>
  59     <li><a href="#cve-2007-4565">CVE-2007-4565:</a> <a
  60         href="fetchmail-SA-2007-02.txt">fetchmail-SA-2007-02.txt</a></li>
  61 </ul>
  62 <p>On 2008-04-24, the <a href="fetchmail-FAQ.html">FAQ</a> <a
  63     href="fetchmail-FAQ.pdf">(also available as PDF)</a>, <a
  64     href="fetchmail-man.html">manual page</a> and <a href="fetchmail-SA-2007-01.txt">fetchmail-SA-2007-01.txt (CVE-2007-1558)</a> have been revised.</p>
  65 <p>On 2007-04-06, <a href="http://developer.berlios.de/project/showfiles.php?group_id=1824">fetchmail-6.3.8
  66 was released (this is the download link),</a> fixing up further fallout from the CVE-2006-5867 fix, fixing long-standing bugs, and strengthening the APOP client in response to CVE-2007-1558. <a href="https://developer.berlios.de/project/shownotes.php?group_id=1824&amp;release_id=12610">Click here to see the change details.</a></p> </div>
  67
  68 <div style="background-color:#ffff80;color:#000000;font-size:80%;"> <h1>FETCHMAIL 6.2.X UNSUPPORTED AND VULNERABLE - USE 6.3.X INSTEAD</h1>
  69 <p>fetchmail 6.2.X versions are susceptible to CVE-2006-5867 and CVE-2007-1558 and should be replaced by the most current 6.3.X version. Support has been discontinued as of 2006-01-22.</p>
  70
  71 <!--
  72 <p>On 2006-01-22, fetchmail 6.2.X has reached end of its support life. No
  73 further releases of 6.2.X versions will be made and no bug reports for 6.2.X
  74 will be accepted unless the bug persists in the 6.3.X releases. Users are asked
  75 to upgrade to the most current 6.3.X release; care was taken to keep 6.3.X as
  76 compatible as possible with 6.2.X to ensure a smooth upgrade experience. See
  77 above for 6.3.X release news.</p>
  78 -->
  79
  80 </div>
  81
  82 <div style="background-color:#ff8080;color:#000000;font-size:85%"> <h1>SECURITY ALERTS</h1>
  83 <p><strong>NEW</strong> <a name="cve-2008-2711" href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2711">CVE-2008-2711:</a> Fetchmail can <a href="fetchmail-SA-2008-01.txt">crash in verbose mode when logging long message headers.</a> This bug will be fixed in release 6.3.9. For the nonce, use the <a href="fetchmail-SA-2008-01.txt">patch contained in the security announcement.</a></p>
  84 <p><a name="cve-2007-4565" href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4565">CVE-2007-4565:</a> Fetchmail can <a href="fetchmail-SA-2007-02.txt">crash when the SMTP server refuses a warning message generated by fetchmail.</a> This bug was introduced in fetchmail 4.6.8 and will be fixed in release 6.3.9. For the nonce, use the <a href="fetchmail-SA-2007-02.txt">patch contained in this security announcement.</a></p>
  85 <p><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-1558">CVE-2007-1558:</a> Fetchmail's APOP client was found to <a href="fetchmail-SA-2007-01.txt">validate APOP challenges insufficiently, making man-in-the-middle attacks on APOP secrets unnecessarily easier than need be.</a> This bug was long-standing, fetchmail 6.3.8 validates the APOP challenge stricter.</p>
  86 <p><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-5974">CVE-2006-5974:</a> Fetchmail was found to <a href="fetchmail-SA-2006-03.txt">crash when refusing a message that was bound to be delivered by an MDA.</a> This bug was introduced into fetchmail 6.3.5 and fixed in 6.3.6.</p>
  87 <p><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-5867">CVE-2006-5867:</a> Fetchmail was found to <a href="fetchmail-SA-2006-02.txt">omit TLS or send the password in clear text despite the configuration stating otherwise.</a> This was a long-standing bug reported by Isaac Wilcox, fixed in fetchmail 6.3.6. There will be no 6.2.X releases to fix this bug in 6.2.X.</p>
  88 <p><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-0321">CVE-2006-0321:</a> Fetchmail was found to <a href="fetchmail-SA-2006-01.txt">crash after bouncing a message with bad addresses. This bug was introduced with fetchmail 6.3.0 and fixed in fetchmail 6.3.2.</a></p>
  89 <p><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-4348">CVE-2005-4348:</a> Fetchmail was found to contain <a href="fetchmail-SA-2005-03.txt">a bug (null pointer dereference) that can be exploited to a denial of service attack</a> when fetchmail runs in multidrop mode. 6.2.5.5 and 6.3.1 have this bug fixed.</p>
  90 <p><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-3088">CVE-2005-3088:</a> Fetchmailconf was found to <a href="fetchmail-SA-2005-02.txt">open the configuration files world-readable, writing data to them, and only then tightening up permissions</a>, which may cause password information to be visible to other users. This bug affected fetchmail 6.2.0, 6.2.5 and 6.2.5.2.  The bug is fixed in fetchmail 6.2.5.4 and 6.3.0.</p>
  91 <p><a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-2335">CVE-2005-2335:</a> Fetchmail was found to contain a <a href="fetchmail-SA-2005-01.txt">remotely exploitable code injection vulnerability (potentially privileged code)</a> in the POP3 code, affecting both the 6.2.0 and 6.2.5 releases. 6.2.5.2, 6.2.5.4 and 6.3.0 have got this bug fixed. (Other versions have not been checked if they contain this bug.)</p>
  92
  93 <p><strong>Please <a href="http://developer.berlios.de/project/showfiles.php?group_id=1824">update to fetchmail version 6.3.8</a> and apply the two patches from the security announcements CVE-2007-4565 and CVE-2008-2711 above.</strong></p>
  94
  95 </div>
  96
  97 <h1>What fetchmail does:</h1>
  98
  99 <p>Fetchmail is a full-featured, robust, well-documented
 100 remote-mail retrieval and forwarding utility intended to be used over
 101 on-demand TCP/IP links (such as SLIP or PPP connections). It supports
 102 every remote-mail protocol now in use on the Internet: POP2, POP3,
 103 RPOP, APOP, KPOP, all flavors of <a
 104 href="http://www.imap.org">IMAP</a>, ETRN, and ODMR. It can even
 105 support IPv6 and IPSEC.</p>
 106
 107 <p>Fetchmail retrieves mail from remote mail servers and forwards it via
 108 SMTP, so it can then be read by normal mail user agents such as <a
 109 href="http://www.mutt.org/">mutt</a>, elm(1) or BSD Mail.
 110 It allows all your system MTA's filtering, forwarding, and aliasing
 111 facilities to work just as they would on normal mail.</p>
 112
 113 <p>Fetchmail offers better protection against password-sniffing than any
 114 other Unix remote-mail client.  It supports APOP, KPOP, OTP, Compuserve
 115 RPA, Microsoft NTLM, and IMAP RFC1731 encrypted authentication methods
 116 including CRAM-MD5 to avoid sending passwords en clair. It can be
 117 configured to support end-to-end encryption via tunneling with <a
 118 href="http://www.openssh.com/">ssh, the Secure Shell</a>.</p>
 119
 120 <p>Fetchmail can be used as a POP/IMAP-to-SMTP gateway for an entire DNS
 121 domain, collecting mail from a single drop box on an ISP and
 122 SMTP-forwarding it based on header addresses. (We don't really
 123 recommend this, though, as it may lose important envelope-header
 124 information.  ETRN or a UUCP connection is better.)</p>
 125
 126 <p>Fetchmail can be started automatically and silently as a system daemon
 127 at boot time.  When running in this mode with a short poll interval,
 128 it is pretty hard for anyone to tell that the incoming mail link is
 129 not a full-time "push" connection.</p>
 130
 131 <p>Fetchmail is easy to configure.  You can edit its dotfile directly, or
 132 use the interactive GUI configurator (fetchmailconf) supplied with the
 133 fetchmail distribution.  It is also directly supported in linuxconf
 134 versions 1.16r8 and later.</p>
 135
 136 <p>Fetchmail is fast and lightweight.  It packs all its standard
 137 features (POP3, IMAP, and ETRN support) in 196K of core on a
 138 Pentium under Linux.</p>
 139
 140 <p>Fetchmail is <a href="http://www.opensource.org">open-source</a>
 141 and <a href="http://www.gnu.org/philosophy/free-sw.html">free
 142 software</a>.</p>
 143
 144 <h1>Where to find out more about fetchmail:</h1>
 145
 146 <p>See the <a href="fetchmail-features.html">Fetchmail Feature List</a> for more
 147 about what fetchmail does.</p>
 148
 149 <p>See the on-line <a href="fetchmail-man.html">manual page</a> for
 150 basics.</p>
 151
 152 <p>See the <a href="fetchmail-FAQ.html">HTML Fetchmail FAQ</a> for
 153 troubleshooting help.</p>
 154
 155 <p>See the <a href="design-notes.html">Fetchmail Design Notes</a>
 156 for discussion of some of the design choices in fetchmail.</p>
 157
 158 <p>See the project's <a href="todo.html">To-Do list</a> for indications
 159 of known problems and requested features.</p>
 160
 161 <p>The developers use <a
 162 href="http://subversion.tigris.org/">Subversion</a> for revision control.
 163 To get the latest development version, point your subversion client at <a
 164 href="http://mknod.org/svn/fetchmail/trunk/">http://mknod.org/svn/fetchmail/trunk/</a>.</p>
 165
 166 <p>See the <a
 167 href="http://developer.berlios.de/projects/fetchmail/">project
 168 page</a> for more, including <a
 169 href="http://developer.berlios.de/project/showfiles.php?group_id=1824">downloads</a>.
 170 (However, note that we no longer use the subversion repository that Berlios provides.)</p>
 171
 172 <h1>Getting help with fetchmail:</h1>
 173
 174 <p>
 175 There is a fetchmail-users list for help and other user discussion
 176 of fetchmail.  It's a MailMan list, which you can sign up for at <a
 177 href="http://lists.berlios.de/mailman/listinfo/fetchmail-users">
 178 fetchmail-users@lists.berlios.de</a>.  There is also a
 179 fetchmail-devel list for people who want to discuss fixes and
 180 improvements in fetchmail and help co-develop it.  That one is at <a
 181 href="http://lists.berlios.de/mailman/listinfo/fetchmail-devel">
 182 fetchmail-devel@lists.berlios.de</a>.
 183 Finally, there is an announcements-only list, <a
 184 href="http://lists.berlios.de/mailman/listinfo/fetchmail-announce">
 185 fetchmail-announce@lists.berlios.de</a>.</p>
 186
 187 <p>Note: before submitting a question to the lists, <strong>please read
 188 the <a href="fetchmail-FAQ.html">FAQ</a></strong> (especially item <a
 189 href="fetchmail-FAQ.html#G3">G3</a> on how to report bugs).  We
 190 tend to get the same three newbie questions over and over again.  The
 191 FAQ covers them like a blanket.</p>
 192
 193 <h1>Maintainer History</h1>
 194 <p>Fetchmail originated as a program called <i>popclient</i>, written
 195 by Carl Harris.  In 1996, <a href="http://www.catb.org/~esr/">Eric
 196 S. Raymond</a> took over; he soon renamed the program to fetchmail after
 197 adding IMAP support.</p>
 198 <p>In 2004 a new team took over, led by <a
 199 href="http://developer.berlios.de/users/rfunk/">Rob Funk</a>, <a
 200 href="http://developer.berlios.de/users/bob/">Graham Wilson</a>, and <a
 201 href="http://developer.berlios.de/users/m-a/">Matthias Andree</a>. Since then,
 202 Graham Wilson has retreated, and <a
 203 href="http://developer.berlios.de/users/shetye/">Sunil Shetye</a> has
 204 contributed several important pieces of code.</p>
 205
 206 <h1>You can help improve fetchmail:</h1>
 207
 208 <p>We welcome your code contributions.  But even if you don't write code,
 209 you can help fetchmail improve.</p>
 210
 211 <p><strong>If you administer a site that runs a post-office server, you may be
 212 able help improve fetchmail by lending us a test account on your site.
 213 Note that we do not need a shell account for this purpose, just a
 214 mailbox and a mail address.  Nor are we interested in collecting maildrops per
 215 se -- what we're collecting is different <em>kinds of servers</em>.</strong></p>
 216
 217 <p>Before each release, we run a test harness that sends date-stamped
 218 test mail to each site on our regression-test list, then tries to
 219 retrieve it.  Please take a look at the <a href="testservers.html">
 220 list of test servers</a>.  If you can lend us an account on a kind
 221 of server that is <em>not</em> already on this list, please do.</p>
 222
 223 <h1>Where you can use fetchmail:</h1>
 224
 225 <p>The fetchmail code was developed under Linux, but has also been
 226 extensively tested under 4.4BSD, SunOS, Solaris, AIX, and NEXTSTEP.  It
 227 should be readily portable to other Unix variants (it requires only
 228 POSIX plus BSD sockets, and uses GNU autoconf).</p>
 229
 230 <p>Fetchmail is supported only for Unix by its official maintainers.
 231 However, it is reported to build and run correctly under BeOS,
 232 AmigaOS, Rhapsody, and QNX as well.  There is a CygWin port.</p>
 233
 234 <h1>Related works</h1>
 235
 236 <h2>Similar software</h2>
 237
 238 <p><strong>fdm:</strong> A recently appeared software package that integrates basic filtering is <a href="http://fdm.sourceforge.net/">Nicholas Marriott's fdm</a>.
 239
 240 <p><strong>getmail:</strong> When fetchmail's development was
 241 stalled before the latest team took over, <a
 242 href="http://pyropus.ca/software/getmail/">Charles Cazabon's getmail</a> came
 243 along as an intended replacement.  It still doesn't do everything that
 244 fetchmail does, and often suffers from Python library shortcomings, for
 245 instance when it comes to SSL, but it's close enough to give us a bit of
 246 competition.</p>
 247
 248 <p><strong>animail:</strong> Another contender with integrated filtering is <a href="http://juanjoalvarez.net/animaileng">Juanjo Álvarez Martínez's Animail</a>.</p>
 249
 250 <h2>Complementary and extension software</h2>
 251
 252 <p>Jochen Hayek is developing a set of
 253 <a href="http://www.b.shuttle.de/hayek/JHimap_utils/">
 254 IMAP tools in Python</a> that read your .fetchmailrc file and are
 255 designed to work with fetchmail.   Jochen's tools can report selected
 256 header lines, or move incoming messages to named mailboxes based on
 257 the contents of headers.</p>
 258
 259 <!-- no longer true
 260 <p>Donncha O Caoihm has written a Perl script called
 261 <a href="http://blogs.linux.ie/xeer/install-sendmail/">install-sendmail</a>
 262 that assists you in installing sendmail and fetchmail together.</p>
 263 -->
 264
 265 <p>Peter Hawkins has written a script called <a
 266 href="http://linux.cudeso.be/linuxdoc/gotmail.php">gotmail</a> that
 267 can retrieve Hotmail. Another script, <a
 268 href="http://yosucker.sourceforge.net">yosucker</a>, can retrieve
 269 Yahoo webmail.</p>
 270
 271 <p>There's a program called
 272 <a href="http://mailfilter.sourceforge.net/">mailfilter</a> which can be used
 273 to do spam filtering, that works particularly well called from fetchmail's
 274 <code>preconnect</code> directive.</p>
 275
 276 <p>A hacker identifying himself simply as 'Steines' has written a
 277 filter which rewrites the to-line with a line which only includes
 278 receipients for a given domain and renames the old to-line. It also
 279 rewrites the domain-part of addresses if the offical domain is
 280 different from the local domain. You can find it <a
 281 href="http://www.steines.com/mailf/">here</a>.</p>
 282
 283 </div>
 284
 285 <a href="http://developer.berlios.de">
 286 <img src="http://developer.berlios.de/bslogo.php?group_id=1824&amp;type=1" width="124" height="32" border="0" alt="BerliOS Logo" align="right" /></a>
 287
 288 </body>
 289 </html>