Викиновости

Удаленная уязвимость в Cyrus-IMAP

24 ноября 2004 года

До сих пор сообщения об уязвимостях обходили стороной проект Cyrus-IMAP, но как оказалось, это была лишь иллюзия безопасности. После первого же аудита кода, во всех версиях Cyrus-IMAP, включая 2.2.8, обнаружили сразу несколько серьезных ошибок, позволяющих удаленному злоумышленнику (не имеющему локального аккаунта) запустить код с правами суперпользователя на сервере.

Проблемы (уже выпущена версия 2.2.9 с решением):

  • Cyrus-IMAP 2.2.4 - 2.2.8: переполнение стека, до стадии аутентификации, из-за отсутствия проверки на размер вводимого логина при копировании во временный буфер;
  • 3 ошибки при обработке параметров IMAP команд, для пользователей имеющих доступ к IMAP серверу.

Должен отметить, что не осталось ни одного открытого IMAP сервера которому можно было бы доверять: на UW IMAPD изначально поставлен крест в плане безопасности, в Courier-IMAP несколько раз находили неприятные ошибки. Из POP3 серверов можно доверять только popa3d.

Источники

править


 
 
Creative Commons
Эта статья содержит материалы из статьи «Удаленная уязвимость в Cyrus-IMAP», опубликованной OpenNET и распространяющейся на условиях лицензии Creative Commons Attribution (CC BY) — указание автора, источник и лицензию.
 
Эта статья загружена автоматически ботом NewsBots в архив и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.



Источник — https://ru.wikinews.org/w/index.php?title=Удаленная_уязвимость_в_Cyrus-IMAP&oldid=8617135