Alert GCSA-06021 - Vulnerabilita' in SpamAssassin

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


*****************************************************************************

       Alert ID : GCSA-06021
           Data : 12 giungo 2006
         Titolo : Vulnerabilita' in SpamAssassin

*****************************************************************************


- -- Descrizione del problema:

E' stata riscontrata una vulnerabilita' in SpamAssassin che potrebbe essere
sfruttata da un attaccante remoto per compromettere un sistema vulnerabile.

Tale vulnerabilita' e' dovuta ad un errore nell'applicazione, che si verifica
quando spamd viene eseguito con le opzioni "-v" / "--vpopmail" e
"-P" / "--paranoid".

L'attaccante potrebbe sfruttare la falla per eseguire codice arbitrario
con i privilegi di "spamd", inviando una mail creata "ad hoc" ad 
un'applicazione vulnerabile.


- -- Piattaforme e Software interessati:

Versioni di SpamAssassin precedenti alla 3.1.3 o alla 3.0.6


- -- Impatto:

Esecuzione di codice arbitrario e compromissione del sistema.


- -- Soluzioni:

Aggiornare SpamAssassin alla versione 3.1.3 o alla versione 3.0.6:


3.1.3:

http://apache.mirror.rafal.ca/spamassassin/source/Mail-SpamAssassin-3.1.3.tar.gz
oppure
http://spamassassin.apache.org/downloads.cgi?update=200606050750


3.0.6:

http://apache.mirror.rafal.ca/spamassassin/source/Mail-SpamAssassin-3.0.6.tar.gz
oppure
http://spamassassin.apache.org/downloads.cgi?update=200606050750


- -- Riferimenti:

SpamAssassin Home Page:
http://spamassassin.apache.org/

ANNOUNCE: Apache SpamAssassin 3.1.3 available!:
http://www.nabble.com/forum/ViewPost.jtp?post=4717543

ANNOUNCE: Apache SpamAssassin 3.0.6 available!:
http://www.nabble.com/forum/ViewPost.jtp?post=4717572

FrSIRT:
http://www.frsirt.com/english/advisories/2006/2148

Secunia:
http://secunia.com/advisories/20430/

CVE Mitre (CVE-2006-2447):
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-2447

-----BEGIN PGP SIGNATURE-----

iQCVAwUBRI2IyvOB+SpikaiRAQKcJAP/SUNpEztiyQ+JRkoMHi4S4wharv6DLhjP
J1OYaE+zC/rM1Q4dr54NSnoizdwi9viN0/ROQTDVlfFpjtGO80vrfy1XH8q3DWN/
9auET9SS6T76zp7qy0/vcVZRJWHBziMsqPKpM4jLlqNekLEorrg5OFm4OgUgO9XY
eZFnWeAWWbA=
=EXEK
-----END PGP SIGNATURE-----