Pileus Git - ~andy/fetchmail/blob - fetchmail-SA-2006-02.txt

   1 fetchmail-SA-2006-02: TLS enforcement problem/MITM attack/password exposure
   2
   3 Topics:         fetchmail cannot enforce TLS
   4
   5 Author:         Matthias Andree
   6 Version:        1.0
   7 Announced:      2006-11-XX
   8 Type:           secret information disclosure
   9 Impact:         fetchmail can expose cleartext password over unsecure link
  10                 fetchmail may not detect man in the middle attacks
  11 Danger:         medium
  12 Credits:        Isaac Wilcox (bug report, testing, collaboration on fix)
  13 CVE Name:       CVE-2006-5867
  14 URL:            http://fetchmail.berlios.de/fetchmail-SA-2006-02.txt
  15 Project URL:    http://fetchmail.berlios.de/
  16
  17 Affects:        fetchmail releases <= 6.3.5
  18                 fetchmail release candidates 6.3.6-rc1, -rc2, -rc3
  19
  20 Not affected:   fetchmail release candidate 6.3.6-rc4
  21                 fetchmail release 6.3.6
  22
  23 Corrected:      2006-11-26 fetchmail 6.3.6-rc4
  24
  25
  26 0. Release history
  27 ==================
  28
  29 2006-11-16      v0.01 internal review draft
  30 2006-11-26      v0.02 revise failure cases, workaround, add acknowledgments
  31
  32
  33 1. Background
  34 =============
  35
  36 fetchmail is a software package to retrieve mail from remote POP2, POP3,
  37 IMAP, ETRN or ODMR servers and forward it to local SMTP, LMTP servers or
  38 message delivery agents.
  39
  40 fetchmail ships with a graphical, Python/Tkinter based configuration
  41 utility named "fetchmailconf" to help the user create configuration (run
  42 control) files for fetchmail.
  43
  44
  45 2. Problem description and Impact
  46 =================================
  47
  48 Fetchmail has has several nasty password disclosure vulnerabilities for
  49 a long time. It was only recently that these have been found.
  50
  51 V1. sslcertck/sslfingerprint options should have implied "sslproto tls1"
  52     in order to enforce TLS negotiation, but did not.
  53
  54 V2. Even with "sslproto tls1" in the config, fetches would go ahead
  55     in plain text if STLS/STARTTLS wasn't available (not advertised,
  56     or advertised but rejected).
  57
  58 V3. POP3 fetches could completely ignore all TLS options whether
  59     available or not because it didn't reliably issue CAPA before
  60     checking for STLS support, and it would only try STLS if it had seen
  61     the server's advertisement.
  62
  63 V4. POP3 could fall back to using plain text passwords, even if strong
  64     authentication had been configured.
  65
  66 V5. POP2 would not complain if strong authentication or TLS had been
  67     requested.
  68
  69 This can cause eavesdroppers to obtain the password, depending on the
  70 authentication scheme that is configured or auto-selected, and
  71 subsequently impersonate somebody else when logging into the upstream
  72 server.
  73
  74
  75 3. Workaround
  76 =============
  77
  78 If your upstream offers SSLv3-wrapped service on a dedicated port,
  79 use   fetchmail --ssl --sslcertck --sslproto ssl3   on the command line,
  80 or equivalent in the run control file.  This encrypts the whole session.
  81
  82
  83 4. Solution
  84 ===========
  85
  86 Download and install fetchmail 6.3.6 or a newer stable release from
  87 fetchmail's project site at
  88 <http://developer.berlios.de/project/showfiles.php?group_id=1824>.
  89
  90
  91 5. Acknowledgments
  92 ==================
  93
  94 Isaac Wilcox has been a great help with testing the fixes and getting
  95 them right.
  96
  97
  98 A. Copyright, License and Warranty
  99 ==================================
 100
 101 (C) Copyright 2006 by Matthias Andree, <matthias.andree@gmx.de>.
 102 Some rights reserved.
 103
 104 This work is licensed under the Creative Commons
 105 Attribution-NonCommercial-NoDerivs German License. To view a copy of
 106 this license, visit http://creativecommons.org/licenses/by-nc-nd/2.0/de/
 107 or send a letter to Creative Commons; 559 Nathan Abbott Way;
 108 Stanford, California 94305; USA.
 109
 110 THIS WORK IS PROVIDED FREE OF CHARGE AND WITHOUT ANY WARRANTIES.
 111 Use the information herein at your own risk.
 112
 113 END OF fetchmail-SA-2006-02.txt