blob: 8ca8382cd09fae8c8ed33fd5d35e0e7729927468 (
plain) (
blame)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
|
#use wml::debian::translation-check translation="1d1c1ba842e225bf68a6fed5744786cc779234f7"
<define-tag description>LTS セキュリティ更新</define-tag>
<define-tag moreinfo>
<p><q>mail</q>コマンドの実装である Heirloom mailx
に、セキュリティ脆弱性が2件発見されています:</p>
<ul>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2004-2771">CVE-2004-2771</a>
<p>mailx は特定のメールアドレス中のシェルメタ文字を解釈します。</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2014-7844">CVE-2014-7844</a>
<p>mailx の想定していない機能により、
書式として有効なメールアドレスをシェルコマンドとして扱い、実行します。</p></li>
</ul>
<p>シェルコマンドの実行機能は<q>expandaddr</q>オプションを有効にすることで利用できます。</p>
<p>ただし、このセキュリティ更新は mailx
でコマンドを実行する機能を全て削除したわけではないことに注意してください。
信頼できないソース (ウェブフォーム等)
から取得したアドレスにメールを送るスクリプトではメールアドレスの前に区切り文字
<code>--</code> を使うようにするか
(適切に機能するようにこの更新で修正されています)、代わりに
<code>mail -t</code> や <code>sendmail -i -t</code> を発動して
宛先のアドレスをメールヘッダの一部として渡すように変更してください。</p>
<p>旧安定版 (oldstable) ディストリビューション (squeeze)
では、この問題はバージョン 12.4-2+deb6u1 で修正されています。</p>
<p>直ちに heirloom-mailx パッケージをアップグレードすることを勧めます。</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/lts/security/2014/dla-114.data"
|
