DSA-2805-1 sup-mail -- инъекция команды

Высокая (6.8)

(AV:N/AC:M/Au:N/C:P/I:P/A:P)

Debian

sup-mail (any)

joernchen из Phenoelit обнаружил две уязвимости в виде инъекции команд в Sup,
консольном клиенте электронной почты. Атакующий может выполнить произвольную команду,
если пользователь открывает специально сформированное почтовое сообщение.

CVE-2013-4478
Sup неправильно обрабатывает имена файлов во вложениях.
CVE-2013-4479
Sup не очищает тип содержимого вложений.

В предыдущем стабильном выпуске (squeeze) эти проблемы были исправлены в
версии 0.11-2+nmu1+deb6u1.
В стабильном выпуске (wheezy) эти проблемы были исправлены в
версии 0.12.1+git20120407.aaa852f-1+deb7u1.
Мы рекомендуем обновить пакеты sup-mail.

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 6:
noarch:
sup-mail - 0.11-2+nmu1+deb6u1
Debian GNU/Linux 7:
noarch:
sup-mail - 0.12.1+git20120407.aaa852f-1+deb7u1

http://www.debian.org/security/dsa-2805/

Источник: CVE
Наименование: CVE-2013-4478
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-4478

Источник: CVE
Наименование: CVE-2013-4479
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-4479