Últimos Cambios
Mi estado actual en Jabber/XMPP: - jabberES - jabber.org

Vulnerabilidades en varios gestores de listas de correo electrónico

Última Actualización: 30 de Octubre de 2.000 - Lunes

Se han descubierto problemas de seguridad en varios gestores de listas de correo electrónico, algunos de los cuales permiten que un atacante ejecute código arbitrario.

Los gestores de listas de correo son programas que se encargan de automatizar tareas como la alta y baja de suscriptores, el filtrado de contenidos, el archivado de los mensajes, etc. Existen un buen número de paquetes con este fin, muchos de los cuales son gratuitos.

Las vulnerabilidades descubiertas son:

• "mailman" permite que un usuario local obtenga privilegios de "root" o administrador.

  Este problema afecta a las versiones previas a la 2.0b5.

• "mailman" versión 1.1 permite la ejecución de comandos arbitrarios por parte de los administradores de las listas de correo, si está activada la funcionalidad de "archivado externo" de mensajes.

  Este problema afecta a las versiones previas a la 1.2beta.

• "listmanager" permite que un usuario local obtenga privilegios de "root" o administrador.

  Este problema afecta a las versiones previas a la 2.105.1

• Existe una vulnerabilidad de desbordamiento de búfer en el sistema de archivo web de "listserv", pudiendo ejecutar código arbitrario con los privilegios del demonio "listserv".

  Este problema, que es explotable de forma remota, afecta a las versiones 1.8d y 1.8c. Las versiones previas no parecen afectadas. El fabricante proporciona un parche para la versión 1.8d. La versión 1.8c no está soportada; los usuarios de dicha versión deberían instalar la versión 1.8d y el parche.

• Las versiones 3 y 4 de "Lyris List Manager" permiten que cualquier suscriptor de una lista de correo obtenga privilegios de administrador en dicha lista.

Más información:

• mailman

• listmanager

• LISTSERV

• SECURITY ADVISORY 1

• Lyris List manager

• Vulnerabilidades en varios gestores de listas de correo electrónico (Página residente en Hispasec)
• Hispasec
• Artículos
• La Página de Jesús Cea Avión

©2000 jcea@jcea.es