Risque
- Exécution de code arbitraire à distance ;
- déni de service à distance.
Systèmes affectés
qmailadmin versions sources 1.2.8 et 1.2.9.
Résumé
Un utilisateur distant mal intentionné peut utiliser un lien réticulaire (URL) habilement construit pour exécuter du code arbitraire sur le système hôte du programme qmailadmin avec les droits de l'administrateur.
Description
qmailadmin est utilitaire de gestion par interface « web » des domaines virtuels d'un service de messagerie utilisant qmail. Ce programme est invoqué par un serveur « web » hôte.
Un débordement de tampon dans la gestion des informations sur la requête transmises par le serveur peut être utilisée pour exécuter du code arbitraire avec les privilèges du programme, soit root.
Contournement provisoire
Restreindre à l'accès à l'interface « web » d'administration à des systèmes de confiance au moyen d'un pare-feu ou de directives dans la configuration du serveur.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation) ou mettre à jour les sources en version 1.2.10 au moins.
Documentation
- Site internet de qmailadmin :
http://www.inter7.com/index.php?page=qmailadmin
- Bulletin de sécurité Secunia #19262 du 17 mars 2006 :
http://secunia.com/advisories/19262/
- Référence CVE CAN-2006-1141 :
https://www.cve.org/CVERecord?id=CAN-2006-1141
