DSA-449-1 metamail -- переполнение буфера, строка формата

Высокая (7.5)

(AV:N/AC:L/Au:N/C:P/I:P/A:P)

Debian

metamail (any)

Ульф Харнхаммар (Ulf Härnhammar) обнаружил две ошибки, связанные
со строкой формата (CAN-2004-0104)
и две возможности переполнения буфера (CAN-2004-0105)
в metamail, реализации MIME. Нападающий может создать специальное почтовое
сообщение, которое выполнит произвольный код, как только жертва откроет его
и передаст metamail для разбора.
Мы прикладываем усилия к тому, чтобы metamail в будущем можно было
исключить из дистрибутива. Он уже не сопровождается авторами, и эти уязвимости,
вероятно, не последние в этой программе.
В стабильном дистрибутиве (woody) эти проблемы исправлены
в версии 2.7-45woody.2.
В нестабильном дистрибутиве (sid) эти проблемы будут исправлены
в версии 2.7-45.2.
Мы рекомендуем вам обновить пакет metamail.

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 3.0:
ppc:
metamail - 2.7-45woody.2
s390x:
metamail - 2.7-45woody.2
m68k:
metamail - 2.7-45woody.2
i686:
metamail - 2.7-45woody.2
hppa:
metamail - 2.7-45woody.2
sparc:
metamail - 2.7-45woody.2
alpha:
metamail - 2.7-45woody.2
ia64:
metamail - 2.7-45woody.2
mips:
metamail - 2.7-45woody.2
mipsel:
metamail - 2.7-45woody.2
arm:
metamail - 2.7-45woody.2

http://www.debian.org/security/dsa-449/

Источник: CVE
Наименование: CVE-2004-0104
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2004-0104

Источник: CVE
Наименование: CVE-2004-0105
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2004-0105