Pileus Git - ~andy/fetchmail/blob - fetchmail-SA-2012-02.txt

   1 -----BEGIN PGP SIGNED MESSAGE-----
   2 Hash: SHA1
   3
   4 fetchmail-SA-2012-02: DoS/data theft possible in NTLM authentication
   5
   6 Topics:         fetchmail denial of service/data theft in NTLM protocol phase
   7
   8 Author:         Matthias Andree
   9 Version:        1.0
  10 Announced:      2012-08-13
  11 Type:           reading from bad memory locations
  12 Impact:         fetchmail segfaults and aborts, stalling inbound mail,
  13                 or: fetchmail conveys data from bad locations, possibly
  14                 betraying confidential data
  15 Danger:         low
  16 Acknowledgment: J. Porter Clark
  17
  18 CVE Name:       CVE-2012-3482
  19 URL:            http://www.fetchmail.info/fetchmail-SA-2012-02.txt
  20 Project URL:    http://www.fetchmail.info/
  21
  22 Affects:        - fetchmail releases 5.0.8 up to and including 6.3.21
  23                   when compiled with NTLM support enabled
  24
  25 Not affected:   - fetchmail releases compiled with NTLM support disabled
  26                 - fetchmail releases 6.3.22 and newer
  27
  28 Corrected in:   2012-08-13 Git, among others, see commit
  29                 3fbc7cd331602c76f882d1b507cd05c1d824ba8b
  30
  31                 2012-08-29 fetchmail 6.3.22 release tarball
  32
  33
  34 0. Release history
  35 ==================
  36
  37 2012-08-29 1.0  release
  38
  39
  40 1. Background
  41 =============
  42
  43 fetchmail is a software package to retrieve mail from remote POP3, IMAP,
  44 ETRN or ODMR servers and forward it to local SMTP, LMTP servers or
  45 message delivery agents. fetchmail supports SSL and TLS security layers
  46 through the OpenSSL library, if enabled at compile time and if also
  47 enabled at run time, in both SSL/TLS-wrapped mode on dedicated ports as
  48 well as in-band-negotiated "STARTTLS" and "STLS" modes through the
  49 regular protocol ports.
  50
  51
  52 2. Problem description and Impact
  53 =================================
  54
  55 Fetchmail version 5.0.8 added NTLM support. This code sent the NTLM
  56 authentication request, but never checked if the received response was
  57 an NTLM challenge, or a server-side error message.  Instead, fetchmail
  58 tried to decode the error message as though it were base64-encoded
  59 protocol exchange, and could then segfault, subject to verbosity and
  60 other circumstances, while reading data from bad memory locations.
  61
  62 Also, when the "Target Name" structure in the NTLM Type 2 message (the
  63 challenge) was carefully crafted, fetchmail might read from the wrong
  64 memory location, and send confidential data to the server that it should
  65 not have.  It is deemed hard, although not impossible, to steal
  66 other accounts' data.
  67
  68 3. Solution
  69 ===========
  70
  71 Install fetchmail 6.3.22 or newer.
  72
  73 The fetchmail source code is always available from
  74 <http://developer.berlios.de/project/showfiles.php?group_id=1824>.
  75
  76 Distributors are encouraged to review the NEWS file and move forward to
  77 6.3.22, rather than backport individual security fixes, because doing so
  78 routinely misses other fixes crucial to fetchmail's proper operation,
  79 for which no security announcements are issued, or documentation.
  80
  81 Fetchmail 6.3.X releases have always been made with a focus on unchanged
  82 user and program interfaces so as to avoid disruptions when upgrading
  83 from 6.3.X to 6.3.Y with Y > X.  Care was taken to not change the
  84 interface incompatibly.
  85
  86
  87 A. Copyright, License and Non-Warranty
  88 ======================================
  89
  90 (C) Copyright 2012 by Matthias Andree, <matthias.andree@gmx.de>.
  91 Some rights reserved.
  92
  93 This work is licensed under the
  94 Creative Commons Attribution-NoDerivs 3.0 Germany License (CC BY-ND 3.0).
  95
  96 To view a copy of this license, visit
  97 http://creativecommons.org/licenses/by-nd/3.0/de/deed.en
  98 or send a letter to:
  99
 100 Creative Commons
 101 444 Castro Street
 102 Suite 900
 103 MOUNTAIN VIEW, CALIFORNIA 94041
 104 USA
 105
 106
 107 THIS WORK IS PROVIDED FREE OF CHARGE AND WITHOUT ANY WARRANTIES.
 108 Use the information herein at your own risk.
 109
 110 END of fetchmail-SA-2012-02
 111 -----BEGIN PGP SIGNATURE-----
 112 Version: GnuPG v1.4.11 (GNU/Linux)
 113
 114 iEYEARECAAYFAlA+n3kACgkQvmGDOQUufZWzKwCfcOJF35eJ/bOio0VRfFFOiBsq
 115 dNwAnicBBiqQOq9i7atwBr4gdZ5x+SUM
 116 =+hqO
 117 -----END PGP SIGNATURE-----