Alert GCSA-06001 - Vulnerabilita' in Sendmail

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


******************************************************************

         Alert ID: GCSA-06001

         Data di creazione: 23 Marzo 2006

         Titolo: Vulnerabilita' di race condition in Sendmail

******************************************************************


1) Descrizione del problema:

Sendmail contiene una race condition dovuta alla gestione impropria
dei segnali asincroni.
In particolare, forzando il server SMTP ad avere un timeout di I/O
nel giusto istante, un attaccante remoto potrebbe essere in grado di
eseguire codice arbitrario con i privilegi del processo di Sendmail.
Se il processo fosse in esecuzione come root, l'attaccante potrebbe
prendere il controllo completo del sistema.


2) Piattaforme interessate:

Versioni di Sendmail precedenti alla 8.13.6.


3) Impatto:

Esecuzione di codice arbitrario con i privilegi del processo in esecuzione.


4) Soluzioni:

Aggiornare Sendmail alla versione 8.13.6:
Sendmail version 8.13.6 - <http://www.sendmail.org/8.13.6.html>

Oppure applicare le patch per le versioni di Sendmail 8.12.11 e 8.13.5:
Sendmail version 8.12.11 Patch - 
<ftp://ftp.sendmail.org/pub/sendmail/8.12.11.p0>
Sendmail version 8.13.5 Patch - 
<ftp://ftp.sendmail.org/pub/sendmail/8.13.5.p0>


5) Riferimenti:

US-CERT Vulnerability Note VU#834865:
<http://www.kb.cert.org/vuls/id/834865>

Sendmail MTA Security Vulnerability Advisory:
<http://www.sendmail.com/company/advisory>

CVE-2006-0058:
<http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-0058>


-----BEGIN PGP SIGNATURE-----

iQCVAwUBRCfoD/OB+SpikaiRAQL1BwQAtxDw0cry36F9fcXsjRx70iL6p2pF4gJG
m54IxUbTebDh3/8Ia52IAPKP/dIf0CLMH3vhrBtT+iMWF905F9RUjoqoWQkx2nwT
vo5AO7kiZC+yea8SruzkO6nYRvdL4uVaqlqyM5bhYBG1JMZq8CvQso4izTZ/xyVA
xi2d9Z/sxj8=
=aUkB
-----END PGP SIGNATURE-----