发布日期：2009-08-05
更新日期：2009-08-07

受影响系统：

Eric Raymond Fetchmail 6.3.x

不受影响系统：

Eric Raymond Fetchmail 6.3.11

描述：

---

BUGTRAQ  ID: 35951
CVE ID: CVE-2009-2666

Fetchmail是免费的软件包，可以从远程POP2、POP3、IMAP、ETRN或ODMR服务器检索邮件并将其转发给本地SMTP、LMTP服务器或消息传送代理。

一些CA所签名的证书在ITU-T X.509证书的Common Name或subjectAltName字段中包含有嵌入的空字符，Fetchmail在处理这种X.509字符串时会将其处理为终止符，因此只会检查空字符的之前部分。例如，名称为www.good.example\0www.bad.example.com 的证书会被错误的处理为www.good.example 。这就允许攻击者伪造合法域的证书，执行中间人攻击。

<*来源：Matthias Andree （matthias.andree@gmx.de）
  
  链接：http://secunia.com/advisories/36179/
        http://marc.info/?l=bugtraq&m=124956865031853&w=2
        http://security.gentoo.org/glsa/201006-12.xml
*>

建议：

---

厂商补丁：

Eric Raymond
------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://developer.berlios.de/project/showfiles.php?group_id=1824

Gentoo
------
Gentoo已经为此发布了一个安全公告（GLSA 201006-12）以及相应补丁:
GLSA 201006-12：Fetchmail: Multiple vulnerabilities
链接：http://security.gentoo.org/glsa/201006-12.xml

所有Fetchmail用户都应升级到最新版本：

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=3Dnet-mail/fetchmail-6.3.14"

浏览次数：2382
严重程度：0（网友投票）