Debian DLA-106-1：getmail4 安全更新

medium Nessus 插件 ID 82090

语言：

简介

远程 Debian 主机缺少安全更新。

描述

已在 getmail4（支持 POP3、IMAP4 和 SDPS 的邮件检索程序）中发现若干允许中间人攻击的漏洞。

CVE-2014-7273

getmail 4.0.0 至 4.43.0 中的 IMAP-over-SSL 实现未验证来自 SSL 服务器的 X.509 证书，这允许中间人攻击者通过构建的证书欺骗 IMAP 服务器并获得敏感信息。

CVE-2014-7274

getmail 4.44.0 中的 IMAP-over-SSL 实现未验证服务器主机名是否与 X.509 证书的主题公用名 (CN) 字段中的域名匹配，这允许中间人攻击者通过来自公认证书颁发机构的构建的证书欺骗 IMAP 服务器并获得敏感信息。

CVE-2014-7275

getmail 4.0.0 至 4.44.0 中的 POP3-over-SSL 实现未验证来自 SSL 服务器的 X.509 证书，这允许中间人攻击者通过构建的证书欺骗 POP3 服务器并获得敏感信息。

对于 squeeze 发行版本，已通过导入新的上游版本 4.46.0-1+deb6u1 修复这些问题。Osamu Aoki 已准备了更新后的程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。