程序包已更新到最新上游版本，修复了 CVE-2012-3482。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已在 fetchmail 中发现并修正了多种漏洞：

Fetchmail 6.3.9 版启用了所有 SSL 变通方案 (SSL_OP_ALL)，其中包含一个禁用某些攻击的对策的开关，此攻击针对允许猜测初始化矢量的块密码但前提是攻击者可使应用程序 (fetchmail) 为其加密某些数据 -- 这并不容易（也称为 BEAST 攻击） (CVE-2011-3389)。

在远程邮件检索与找回实用工具 Fetchmail 执行某些 NTLM 服务器响应的 base64 解码的方式中发现一个拒绝服务缺陷。发送 NTLM 认证请求时，Fetchmail 并不检查所接收的响应实际是 NTLM 协议交换的一部分，还是服务器端的错误消息，并且会话中止。流氓 NTML 服务器可利用此缺陷而造成 fetchmail 可执行程序崩溃 (CVE-2012-3482)。

此公告提供了最新的 fetchmail (6.3.22) 版，不易受这些问题的影响。

Fetchmail 5.0.8 至 6.3.21 在调试模式下使用 NTLM 认证时，允许远程 NTLM 服务器 (1) 通过可触发 base64 解码器中越界读取的构建 NTLM 响应造成拒绝服务（崩溃和入站邮件延迟投递），或 (2) 通过具有可触发越界读取的构建目标名称结构的 NTLM Type 2 消息从内存获取敏感信息。

Matthias Andree 报告：

启用了 NTLM 支持时，fetchmail 可能会将 NTLM 协议交换期间的服务器端错误消息误以为协议数据，从而导致 SIGSEGV。

此外，通过精心构建的 NTLM 条件，恶意服务器可能会导致 fetchmail 从错误的内存位置进行读取，从而泄露机密数据。我们认为难以窃取其他帐户的数据，但并非不可能。

此 fetchmail 更新修复了以下问题：

- CVE-2012-3482：已修复处理服务器 NTLM 协议交换时，base64 解码器中的拒绝服务漏洞 (bsc#775988)。

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已在 fetchmail 中发现并修正了多种漏洞：

Fetchmail 6.3.9 版启用了所有 SSL 变通方案 (SSL_OP_ALL)，其中包含一个禁用某些攻击的反制措施的开关，此攻击针对允许猜测初始化矢量的块密码但前提是攻击者可使应用程序 (fetchmail) 为其加密某些数据 -- 这并不容易（也称为 BEAST 攻击） (CVE-2011-3389)。

在远程邮件检索与找回实用工具 Fetchmail 执行某些 NTLM 服务器响应的 base64 解码的方式中发现一个拒绝服务缺陷。发送 NTLM 认证请求时，Fetchmail 并不检查所接收的响应实际是 NTLM 协议交换的一部分，还是服务器端的错误消息，并且会话中止。流氓 NTML 服务器可利用此缺陷而造成 fetchmail 可执行程序崩溃 (CVE-2012-3482)。

此公告提供了最新的 fetchmail (6.3.22) 版，不易受这些问题的影响。

远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

  - Microsoft Windows 和 Microsoft Internet Explorer、Mozilla Firefox、Google Chrome、Opera 以及其他产品中的某些配置中使用的 SSL 协议通过使用包含链式初始化矢量的 CBC 模式对数据进行加密，这允许中间人攻击者通过针对 HTTPS 会话的块式选择边界攻击 (BCBA) 并结合使用 (1) HTML5 WebSocket API、(2) Java URLConnection API 或 (3) Silverlight WebClient API（也称为“BEAST”攻击）的 JavaScript 代码获取纯文本 HTTP 标头。(CVE-2011-3389)

  - Fetchmail 5.0.8 至 6.3.21 在调试模式下使用 NTLM 认证时，允许远程 NTLM 服务器 (1) 通过可触发 base64 解码器中越界读取的构建 NTLM 响应造成拒绝服务（崩溃和入站邮件延迟投递），或 (2) 通过具有可触发越界读取的构建目标名称结构的 NTLM Type 2 消息从内存获取敏感信息。
    (CVE-2012-3482)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
62399	Fedora 16：fetchmail-6.3.22-1.fc16 (2012-14462)	Nessus	Fedora Local Security Checks	2012/10/3	2021/1/11	medium
61992	Mandriva Linux 安全公告：fetchmail (MDVSA-2012:149)	Nessus	Mandriva Local Security Checks	2012/9/6	2022/12/5	medium
62398	Fedora 17：fetchmail-6.3.22-1.fc17 (2012-14451)	Nessus	Fedora Local Security Checks	2012/10/3	2021/1/11	medium
69622	Amazon Linux AMI：fetchmail (ALAS-2012-132)	Nessus	Amazon Linux Local Security Checks	2013/9/4	2018/4/18	medium
61539	FreeBSD：fetchmail -- NTLM 认证中的两个漏洞 (83f9e943-e664-11e1-a66d-080027ef73ec)	Nessus	FreeBSD Local Security Checks	2012/8/15	2021/1/6	medium
90185	SUSE SLED11 / SLES11 安全更新：fetchmail (SUSE-SU-2016:0872-1)	Nessus	SuSE Local Security Checks	2016/3/25	2021/1/6	medium
66051	Mandriva Linux 安全公告：fetchmail (MDVSA-2013:037)	Nessus	Mandriva Local Security Checks	2013/4/20	2022/12/5	medium
80605	Oracle Solaris 第三方修补程序更新：fetchmail (multiple_vulnerabilities_in_fetchmail) (BEAST)	Nessus	Solaris Local Security Checks	2015/1/19	2022/12/5	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium