在控制台电子邮件客户端 mutt 中发现两个漏洞。

CVE-2020-14093

Mutt 允许通过 PREAUTH 响应进行 IMAP fcc/postpone 中间人攻击。

CVE-2020-14954

Mutt 存在一个影响 IMAP、SMTP 和 POP3 的 STARTTLS 缓冲问题。当服务器发送“开始 TLS”响应时，客户端会读取其他数据（如来自中间人攻击者的数据），并在 TLS 上下文中评估这些数据，也称为“响应注入”。

在 Debian jessie 中，mutt 源程序包会构建两个 mutt 变体：
mutt 和 mutt-patched。

之前的程序包版本（1.5.23-3 + deb8u2，DLA-2268-1）针对上方提及的问题提供了修复程序，但这些修复程序仅适用于 mutt-patched 程序包构建，而不适用于 (vanilla) mutt 程序包构建。

对于 Debian 8“Jessie”，已在版本 1.5.23-3+deb8u3 中修复此问题。

建议您升级 mutt 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

检测

Debian DLA-2268-2：mutt 回归更新

medium Nessus 插件 ID 137911

未找到变更日志