Pileus Git - ~andy/fetchmail/blob - fetchmail-SA-2005-03.txt

   1 -----BEGIN PGP SIGNED MESSAGE-----
   2 Hash: SHA1
   3
   4 fetchmail-SA-2005-03: security announcement
   5
   6 Topics:         #1 crash retrieving headerless message in multidrop mode
   7                 #2 fetchmail 6.2.5.X end of life
   8
   9 Author:         Matthias Andree
  10 Version:        1.00
  11 Announced:      2005-12-19
  12 Type:           null pointer dereference
  13 Impact:         fetchmail crashes
  14 Danger:         low
  15 Credits:        Daniel Drake, Gentoo (bug report)
  16                 Sunil Shetye (bug fix)
  17 CVE Name:       CVE-2005-4348
  18 URL:            http://fetchmail.berlios.de/fetchmail-SA-2005-03.txt
  19                 http://article.gmane.org/gmane.mail.fetchmail.user/7573
  20                 http://bugs.debian.org/343836
  21 Project URL:    http://fetchmail.berlios.de/
  22
  23 Affects:        fetchmail version 6.2.5.4
  24                 fetchmail version 6.3.0
  25
  26 Not affected:   fetchmail 6.3.1
  27                 fetchmail 6.2.5.5
  28                 other versions not mentioned here or in the previous
  29                 sections have not been checked
  30
  31 Corrected:      2005-12-19 - released fetchmail 6.3.1
  32                 2005-12-18 - released fetchmail 6.3.1-rc1
  33                 2005-12-19 - released fetchmail 6.2.5.5
  34
  35
  36 0. Release history
  37 ==================
  38
  39 2005-12-19      1.00 - initial version
  40
  41
  42 1. Background
  43 =============
  44
  45 fetchmail is a software package to retrieve mail from remote POP2, POP3,
  46 IMAP, ETRN or ODMR servers and forward it to local SMTP, LMTP servers or
  47 message delivery agents.
  48
  49 fetchmail ships with a graphical, Python/Tkinter based configuration
  50 utility named "fetchmailconf" to help the user create configuration (run
  51 control) files for fetchmail.
  52
  53
  54 2. Problem description and Impact
  55 =================================
  56
  57 Fetchmail contains a bug that causes an application crash when fetchmail
  58 is configured for multidrop mode and the upstream mail server sends a
  59 message without headers.  As fetchmail does not record this message as
  60 "previously fetched", it will crash with the same message if it is
  61 re-executed, so it cannot make progress. A malicious or broken-into
  62 upstream server could thus cause a denial of service in fetchmail
  63 clients.
  64
  65 Note that such messages are not RFC-822 conformant, so if the server has
  66 not been tampered with, the server software is faulty.
  67
  68
  69 3. Workaround
  70 =============
  71
  72 Where possible, singledrop mode may be an alternative.
  73
  74 For sites, where multidrop mode is required, no workaround is known.
  75
  76
  77 4. Solution
  78 ===========
  79
  80 Download and install fetchmail 6.3.1 or a newer stable release from
  81 fetchmail's project site at
  82 <http://developer.berlios.de/project/showfiles.php?group_id=1824>.
  83
  84 The fix has also been backported to the 6.2.5.5 legacy release which is
  85 available from the same site.
  86
  87 Note however that 6.3.X has very few incompatible changes since 6.2.5.X
  88 so 6.3.X should be viable for most sites.  It is therefore recommended
  89 that every user and distributor upgrade to 6.3.1 or newer.
  90
  91
  92 5. End of life announcement
  93 ===========================
  94
  95 The fetchmail 6.2.5.X branch will be discontinued early in 2006.
  96
  97 The new 6.3.X stable branch has been available since 2005-11-30
  98 and will not change except for bugfixes, documentation and translations.
  99
 100
 101 A. Copyright, License and Warranty
 102 ==================================
 103
 104 (C) Copyright 2005 by Matthias Andree, <matthias.andree@gmx.de>.
 105 Some rights reserved.
 106
 107 This work is licensed under the Creative Commons
 108 Attribution-NonCommercial-NoDerivs German License. To view a copy of
 109 this license, visit http://creativecommons.org/licenses/by-nc-nd/2.0/de/
 110 or send a letter to Creative Commons; 559 Nathan Abbott Way;
 111 Stanford, California 94305; USA.
 112
 113 THIS WORK IS PROVIDED FREE OF CHARGE AND WITHOUT ANY WARRANTIES.
 114 Use the information herein at your own risk.
 115
 116 END OF fetchmail-SA-2005-03.txt
 117 -----BEGIN PGP SIGNATURE-----
 118 Version: GnuPG v1.4.5 (GNU/Linux)
 119
 120 iD8DBQFIV7WXvmGDOQUufZURAjqeAJ90wOleuLWpPKGLdPyLHeDqjxXBrQCgktVz
 121 5rKRtG/LwqXUiqNxjHALy7k=
 122 =NBXT
 123 -----END PGP SIGNATURE-----