Debian-Sicherheitsankündigung

DSA-1090-1 spamassassin -- Programmierfehler

Datum des Berichts:

06. Jun 2006

Betroffene Pakete:

spamassassin

Verwundbar:

Sicherheitsdatenbanken-Referenzen:

In Mitres CVE-Verzeichnis: CVE-2006-2447.

Weitere Informationen:

Eine Verwundbarkeit wurde in SpamAssassin, einem auf Perl basierenden Spamfilter mit Textanalyse, entdeckt, die es Angreifern ermöglicht, beliebige Befehle auszuführen. Dieses Problem betrifft über den Schalter -v / --vpopmail zusammen mit -P / --paranoid nur Systeme, auf denen spamd über das Internet erreichbar ist und die mit virtuellen Benutzern von vpopmail verwendet werden. Diese Einstellung entspricht nicht dem Standard von Debian.

Die alte Stable-Distribution (Woody) ist von diesem Problem nicht betroffen.

Für die Stable-Distribution (Sarge) wurde dieses Problem in Version 3.0.3-2sarge1 behoben.

Für das Volatile-Archiv für die Stable-Distribution (Sarge) wurde dieses Problem in Version 3.1.0a-0volatile3 behoben.

Für die Unstable-Distribution (Sid) wurde dieses Problem in Version 3.1.3-1 behoben.

Wir empfehlen Ihnen, Ihr spamd-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.1 (sarge)

Quellcode:: http://security.debian.org/pool/updates/main/s/spamassassin/spamassassin_3.0.3-2sarge1.dsc; http://security.debian.org/pool/updates/main/s/spamassassin/spamassassin_3.0.3-2sarge1.diff.gz; http://security.debian.org/pool/updates/main/s/spamassassin/spamassassin_3.0.3.orig.tar.gz
Architektur-unabhängige Dateien:: http://security.debian.org/pool/updates/main/s/spamassassin/spamassassin_3.0.3-2sarge1_all.deb
Alpha:: http://security.debian.org/pool/updates/main/s/spamassassin/spamc_3.0.3-2sarge1_alpha.deb
AMD64:: http://security.debian.org/pool/updates/main/s/spamassassin/spamc_3.0.3-2sarge1_amd64.deb
ARM:: http://security.debian.org/pool/updates/main/s/spamassassin/spamc_3.0.3-2sarge1_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/s/spamassassin/spamc_3.0.3-2sarge1_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/s/spamassassin/spamc_3.0.3-2sarge1_ia64.deb
HPPA:: http://security.debian.org/pool/updates/main/s/spamassassin/spamc_3.0.3-2sarge1_hppa.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/s/spamassassin/spamc_3.0.3-2sarge1_m68k.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/s/spamassassin/spamc_3.0.3-2sarge1_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/s/spamassassin/spamc_3.0.3-2sarge1_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/s/spamassassin/spamc_3.0.3-2sarge1_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/s/spamassassin/spamc_3.0.3-2sarge1_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/s/spamassassin/spamc_3.0.3-2sarge1_sparc.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.