CentOS 6 / 7：mailx (CESA-2014:1999)

high Nessus 插件 ID 80056

语言：

简介

远程 CentOS 主机缺少安全更新。

描述

更新后的 mailx 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

mailx 程序包包含用于管理使用脚本的邮件的邮件用户代理。

在 mailx 处理电子邮件地址解析的方式中发现一个缺陷。在语法上有效的电子邮件地址可通过 Shell 元字符和直接命令执行功能，允许本地攻击者导致 mailx 执行任意 Shell 命令。
（CVE-2004-2771、CVE-2014-7844）

注意：如果使用 mailx 将电子邮件发送到获取自不受信任来源的地址的应用程序接受以“-”开头的电子邮件地址（这样便可与 mailx 选项混淆），则这些应用程序仍然很容易遭受其他攻击。为解决此问题，该更新还引入了“--”选项，这会将剩余的命令行参数视为电子邮件地址。

建议所有　mailx 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。