Se ha descubierto un grave problema de seguridad en las betas de la versión 3.0 del servidor POP3 de Qualcomm, conocido como Qpopper 3.0b. El fallo de seguridad permite que cualquier usuario remoto pueda ejecutar código arbitrario con privilegios de administrador o «root».
Qpopper es uno de los servidores POP3 (correo electrónico) más populares en el mundo internet, por sus buenas prestaciones y por ser completamente gratuito.
Todas las versiones 3.0beta son vulnerables, al menos hasta la versión 3.0b20. Las versiones antiguas del servidor (2.53) no son vulnerables a este ataque. Se recomienda, por tanto, que los administradores que puedan migrar, reinstalen la versión 2.53.
Qualcomm ha respondido en un plazo de horas, publicando la versión 30.b21, que parece solucionar el problema. Los administradores que tengan instalada la versión 3.0b20 y no deseen descargar la 3.0b21, pueden instalar el siguiente parche:
— pop_msg.c.old Mon Nov 29 23:42:03 +++ pop_msg.c Mon Nov 29 23:52:08 1999 @@ -65,7 +65,7 @@ /* Append the message (formatted, if necessary) */ if (format) { #ifdef HAVE_VPRINTF – vsprintf(mp,format,ap); + vsnprintf(mp,MAXLINELEN – 100, format,ap);
#else # ifdef PYRAMID arg1 = va_arg(ap, char *);
@@ -74,9 +74,9 @@ arg4 = va_arg(ap, char *);
arg5 = va_arg(ap, char *);
arg6 = va_arg(ap, char *);
– (void)sprintf(mp,format, arg1, arg2, arg3, arg4, arg5, arg6);
+ (void)sprintf(mp,MAXLINELEN – 100, format, arg1, arg2, arg3, arg4, arg5, arg6);
# else – (void)sprintf(mp,format,((int *)ap)[0],((int *)ap)[1],((int *)ap)[2], + (void)sprintf(mp,MAXLINELEN – 100, format,((int *)ap)[0],((int *)ap)[1],((int *)ap)[2], ((int *)ap)[3],((int *)ap)[4]); # endif #endif
M s informaci¢n:
Qpopper Home Page
http://www.eudora.com/freeware/qpop.html
Servidor FTP con los servidores Qualcomm Qpopper
ftp://ftp.qualcomm.com/eudora/servers/unix/popper/
Jesos Cea Avi¢n
jcea@hispasec.com
