[Comm] I: dovecot-1.1.6-alt1 fix security problem in 1.1.{4, 5} version

Чт Окт 30 13:57:13 MSK 2008

Всем привет!
В сизиф направлен и прошёл сборку в incoming пакет dovecot-1.1.6-alt1.
В нём исправлена появившаяся в 1.1.4 ошибка в обработке неправильно сформированного адреса сообщения.
Как пишет Тимо, это исправление важно, так как удалённый пользователь мог послать письмо с полем, например, "From: (", и это привело бы к полной блокировке почтового ящика содержащего это письмо, так как при каждом обращении к нему процесс бы завершался аварийно. Это было возможно только при условии что почтовый клиент использовал "FETCH ENVELOPE" команду, и только в версиях 1.1.4 и 1.1.5

Всем кто использует версию dovecot-1.1.4-alt1 рекомендуется обровиться.

-- 
   Сергей

----- "Timo Sirainen" <tss на iki.fi> wrote:

> http://dovecot.org/releases/1.1/dovecot-1.1.6.tar.gz
> http://dovecot.org/releases/1.1/dovecot-1.1.6.tar.gz.sig
> 
> The invalid message address parsing bug is pretty important since it
> allows a remote user to send broken mail headers and prevent the
> recipient from accessing the mailbox afterwards, because the process
> will always just crash trying to parse the header. This is assuming
> that
> the IMAP client uses FETCH ENVELOPE command, not all do. Note that it
> doesn't affect versions older than v1.1.4.
> 
> 	+ dovecot -n and -a now prints some system information at the top.
> 	+ More error/debug message logging improvements.
> 	- pop3-login: Fixed assert-crash if a client sent
> USER+PASS+USER+PASS
> 	  commands in the same IP packet.
> 	- Parsing an invalid message address like "From: (" caused an
> 	  assert-crash in v1.1.4 and v1.1.5.
> 	- Folding whitespace wasn't handled correctly inside quoted-strings,
> 	  causing some messages to be parsed incorrectly.
> 	- mbox: Fixed saving messages that begin with a valid From_-line.
> 
> 
> _______________________________________________
> Dovecot-news mailing list
> Dovecot-news на dovecot.org
> http://dovecot.org/cgi-bin/mailman/listinfo/dovecot-news