Pileus Git - ~andy/fetchmail/blob - fetchmail-SA-2005-03.txt

   1 -----BEGIN PGP SIGNED MESSAGE-----
   2 Hash: SHA1
   3
   4 fetchmail-SA-2005-03: security announcement
   5
   6 Topics:         #1 crash retrieving headerless message in multidrop mode
   7                 #2 fetchmail 6.2.5.X end of life
   8
   9 Author:         Matthias Andree
  10 Version:        1.00
  11 Announced:      2005-12-19
  12 Type:           null pointer dereference
  13 Impact:         fetchmail crashes
  14 Danger:         low
  15 Credits:        Daniel Drake, Gentoo (bug report)
  16                 Sunil Shetye (bug fix)
  17 CVE Name:       CVE-2005-4348
  18 URL:            http://fetchmail.berlios.de/fetchmail-SA-2005-03.txt
  19                 http://article.gmane.org/gmane.mail.fetchmail.user/7573
  20                 http://bugs.debian.org/343836
  21 Project URL:    http://fetchmail.berlios.de/
  22
  23 Affects:        fetchmail version 6.2.5.4
  24                 fetchmail version 6.3.0
  25
  26 Not affected:   fetchmail 6.3.1
  27                 fetchmail 6.2.5.5
  28                 other versions not mentioned here or in the previous
  29                 sections have not been checked
  30
  31 Corrected:      2005-12-19 - released fetchmail 6.3.1
  32                 2005-12-18 - released fetchmail 6.3.1-rc1
  33                 2005-12-19 - released fetchmail 6.2.5.5
  34
  35
  36 0. Release history
  37 ==================
  38
  39 2005-12-19      1.00 - initial version
  40
  41
  42 1. Background
  43 =============
  44
  45 fetchmail is a software package to retrieve mail from remote POP2, POP3,
  46 IMAP, ETRN or ODMR servers and forward it to local SMTP, LMTP servers or
  47 message delivery agents.
  48
  49 fetchmail ships with a graphical, Python/Tkinter based configuration
  50 utility named "fetchmailconf" to help the user create configuration (run
  51 control) files for fetchmail.
  52
  53
  54 2. Problem description and Impact
  55 =================================
  56
  57 Fetchmail contains a bug that causes an application crash when fetchmail
  58 is configured for multidrop mode and the upstream mail server sends a
  59 message without headers.  As fetchmail does not record this message as
  60 "previously fetched", it will crash with the same message if it is
  61 re-executed, so it cannot make progress. A malicious or broken-into
  62 upstream server could thus cause a denial of service in fetchmail
  63 clients.
  64
  65 Note that such messages are not RFC-822 conformant, so if the server has
  66 not been tampered with, the server software is faulty.
  67
  68
  69 3. Workaround
  70 =============
  71
  72 Where possible, singledrop mode may be an alternative.
  73
  74 For sites, where multidrop mode is required, no workaround is known.
  75
  76
  77 4. Solution
  78 ===========
  79
  80 Download and install fetchmail 6.3.1 or a newer stable release from
  81 fetchmail's project site at
  82 <http://developer.berlios.de/project/showfiles.php?group_id=1824>.
  83
  84 The fix has also been backported to the 6.2.5.5 legacy release which is
  85 available from the same site.
  86
  87 Note however that 6.3.X has very few incompatible changes since 6.2.5.X
  88 so 6.3.X should be viable for most sites.  It is therefore recommended
  89 that every user and distributor upgrade to 6.3.1 or newer.
  90
  91
  92 5. End of life announcement
  93 ===========================
  94
  95 The fetchmail 6.2.5.X branch will be discontinued early in 2006.
  96
  97 The new 6.3.X stable branch has been available since 2005-11-30
  98 and will not change except for bugfixes, documentation and translations.
  99
 100
 101 A. Copyright, License and Warranty
 102 ==================================
 103
 104 (C) Copyright 2005 by Matthias Andree, <matthias.andree@gmx.de>.
 105 Some rights reserved.
 106
 107 This work is licensed under the
 108 Creative Commons Attribution-NoDerivs 3.0 Germany License (CC BY-ND 3.0).
 109
 110 To view a copy of this license, visit
 111 http://creativecommons.org/licenses/by-nd/3.0/de/deed.en
 112 or send a letter to:
 113
 114 Creative Commons
 115 444 Castro Street
 116 Suite 900
 117 MOUNTAIN VIEW, CALIFORNIA 94041
 118 USA
 119
 120 THIS WORK IS PROVIDED FREE OF CHARGE AND WITHOUT ANY WARRANTIES.
 121 Use the information herein at your own risk.
 122
 123 END OF fetchmail-SA-2005-03.txt
 124
 125 -----BEGIN PGP SIGNATURE-----
 126 Version: GnuPG v1.4.11 (GNU/Linux)
 127
 128 iEYEARECAAYFAk9/Yg4ACgkQvmGDOQUufZWToACfZyLSqP8dWVIB6rX56d+Kr1sc
 129 iXEAoNszsDwKI1O5lh7R70etYL9jAtiq
 130 =Zz4j
 131 -----END PGP SIGNATURE-----