Le système de messagerie postfix dans Debian 3.0 contient deux
vulnérabilités :
- CAN-2003-0468 : Postfix peut permettre à un attaquant distant de
faire un scan via rebond (bounce-scan) ou de l'utiliser
comme outil de déni de service distribué (DDOS attack) en le
forçant à se connecter à un service arbitraire d'une adresse IP
arbitraire, ce qui soit provoque un message de rebond soit permet
d'observer l'état de la file.
- CAN-2003-0540 : une adresse d'enveloppe mal formée peut
d'une part forcer le gestionnaire de file à se bloquer jusqu'à ce qu'une
entrée soit retirée de la file, et d'autre part bloquer le récepteur
smtp, ce qui provoquerait un déni de service.
Pour l'actuelle distribution instable (Woody), ces problèmes
ont été corrigés dans la version 1.1.11-0.woody3.
Pour la distribution stable (Sid), ces problèmes seront bientôt
corrigés.
Nous vous recommandons de mettre à jour votre paquet postfix.
