Sicherheitslücke in SpamAssassin aufgetaucht
Version 3.0.6 und 3.1.3 sind nicht betroffen. Eine Sicherheitslücke in SpamAssassin 3.0.3 erlaubt unter Umständen beliebige Shell-Kommandos auszuführen. Das Problem tritt auf, da der Spam-Filter bestimmte Eingaben nicht genügend überprüft. Die aktuellen Versionen sollen jedoch schon korrigiert sein.
Wie die Sicherheitsspezialisten von Secunia.com(öffnet im neuen Fenster) bekannt gaben, können Angreifer die Sicherheitslücke ausnutzen, um Zugang zum System zu erlangen. Das Problem tritt auf, da SpamAssassin einige Eingaben nicht korrekt überprüft und sich so beliebige Shell-Befehle ausführen lassen. Nach Angaben von Secunia.com muss der SpamAssassin-Daemon dafür allerdings mit den Optionen "--vpopmail" und "--paranoid" laufen.
Die Version 3.0.3 ist auf jeden Fall betroffen, doch auch andere Versionen könnten anfällig sein. Version 3.0.6 und 3.1.3 sind allerdings bereits von dem Fehler befreit, so dass ein Update auf eine dieser Versionen empfohlen wird.