BDU:2020-03297 (CVE-2019-8337) — уязвимость команды tls_trust_file SMTP-клиента Msmtp и POP3-клиента Mpop
По данным БДУ ФСТЭК России, по состоянию на 15.07.2020.
Средний — 5.3/10 Устранена
Уязвимость команды tls_trust_file SMTP-клиента Msmtp и POP3-клиента Mpop связана с неправильным подтверждением подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность, доступность и конфиденциальность информации
Кого касается и что делать
- Уязвимое ПО: Msmtp (Free Software Foundation) — версии 1.8.2; Mpop (Free Software Foundation) — версии 1.4.2
- Что делать: уязвимость устранена производителем — применить исправления: git.marlam.de, git.marlam.de
Сведения об уязвимости
| Идентификаторы | BDU:2020-03297 · CVE-2019-8337 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 5.3; CVSS 2.0 — 5.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, ограниченное влияние на целостность |
| Наименование ФСТЭК | Уязвимость команды tls_trust_file SMTP-клиента Msmtp и POP3-клиента Mpop, позволяющая нарушителю оказать воздействие на целостность, доступность и конфиденциальность информации |
| Даты | Опубликована: 15.07.2020 · Обновлена ФСТЭК: 15.07.2020 · Выявлена: 13.12.2018 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-295 — неправильное подтверждение подлинности сертификата |
| Класс уязвимости | Уязвимость архитектуры · Способ эксплуатации: подмена при взаимодействии |
Уязвимое ПО
- Msmtp (Free Software Foundation) — 1.8.2 · сетевое средство
- Mpop (Free Software Foundation) — 1.4.2 · сетевое средство
Возможные меры по устранению уязвимости
Обновление.
- Использование рекомендаций
- git.marlam.de/gitweb/
- git.marlam.de/gitweb/
