Sicherheitsloch im E-Mail-Client PINE
Angreifer kann beliebigen Code ausführen
Der E-Mail-Client PINE (Program for Internet News & Email) enthält zwei Sicherheitslücken, die es Angreifern erlauben, beliebigen Code auszuführen, das berichtet das IT-Sicherheitsunternehmen iDefense. Ein Update, das die Sicherheitslücke beseitigt, steht bereit.
Ein Buffer-Overflow in der von der Universität Washington entwickelten Software tritt auf, wenn eine E-Mail Attribut-Felder im Header enthält, die mehr als 20 KByte lang sind. Bei entsprechender Ausgestaltung der Header kann so beliebiger Code auf einem betroffenen System ausgeführt werden, sofern die dort verwendete PINE-Version bekannt ist.
Ein zweites Sicherheitsloch existiert in der Funktion rfc2231_get_param(), das ebenfalls beim Parsen der E-Mail-Header auftritt.
Betroffen von den Sicherheitslücken sind alle PINE-Versionen bis einschließlich PINE 4.56. In der aktuellen PINE-Version 4.58 sind die Fehler behoben. Die Version kann auf den Seiten der Universität Washington heruntergeladen werden.
PINE ist vor allem auf Unix- und Linux-Systemen recht verbreitet.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
- ohne Werbung
- mit ausgeschaltetem Javascript
- mit RSS-Volltext-Feed
Was soll die Aufregung? So lange es mutt gibt, braucht man pine doch ohnehin nicht :-) cvk
Abgesehen davon ist es kein Sicherheitsloch im OS, sondern in einem Anwendungsprogramm.
Höchste Zeit, PINE zu löschen und das gute Outlook zu installieren.
Leute, isses bald mal gut.... Machts besser und schreibt ein eigenes OS. Seid froh, dass...