Re: [sisyphus] [Sysadmins] I: dovecot-1.1.6-alt1 fix security problem in 1.1.{4, 5} version

Re: [sisyphus] [Sysadmins] I: dovecot-1.1.6-alt1 fix security problem in 1.1.{4, 5} version

[seriv]

Всем привет!
1.1.6-alt1, надеюсь, не достигнет ftp, - в этой версии изменения из http://hg.dovecot.org/dovecot-1.1 были применены лишь частично, по моей невнимательности. Извиняюсь.
Исправление - в отправленной в incoming/Sisyphus версии dovecot-1.1.6-alt2
-- 
   Сергей
----- seriv@parkheights.dyndns.org wrote:

> Всем привет!
> В сизиф направлен и прошёл сборку в incoming пакет dovecot-1.1.6-alt1.
> В нём исправлена появившаяся в 1.1.4 ошибка в обработке неправильно
> сформированного адреса сообщения.
> Как пишет Тимо, это исправление важно, так как удалённый пользователь
> мог послать письмо с полем, например, "From: (", и это привело бы к
> полной блокировке почтового ящика содержащего это письмо, так как при
> каждом обращении к нему процесс бы завершался аварийно. Это было
> возможно только при условии что почтовый клиент использовал "FETCH
> ENVELOPE" команду, и только в версиях 1.1.4 и 1.1.5
> 
> Всем кто использует версию dovecot-1.1.4-alt1 рекомендуется
> обровиться.
> 
> --
>    Сергей
> 
> ----- "Timo Sirainen" <tss@iki.fi> wrote:
> 
> > http://dovecot.org/releases/1.1/dovecot-1.1.6.tar.gz
> > http://dovecot.org/releases/1.1/dovecot-1.1.6.tar.gz.sig
> >
> > The invalid message address parsing bug is pretty important since it
> > allows a remote user to send broken mail headers and prevent the
> > recipient from accessing the mailbox afterwards, because the process
> > will always just crash trying to parse the header. This is assuming
> > that
> > the IMAP client uses FETCH ENVELOPE command, not all do. Note that
> it
> > doesn't affect versions older than v1.1.4.
> >
> > 	+ dovecot -n and -a now prints some system information at the top.
> > 	+ More error/debug message logging improvements.
> > 	- pop3-login: Fixed assert-crash if a client sent
> > USER+PASS+USER+PASS
> > 	  commands in the same IP packet.
> > 	- Parsing an invalid message address like "From: (" caused an
> > 	  assert-crash in v1.1.4 and v1.1.5.
> > 	- Folding whitespace wasn't handled correctly inside
> quoted-strings,
> > 	  causing some messages to be parsed incorrectly.
> > 	- mbox: Fixed saving messages that begin with a valid From_-line.
> >
> >
> > _______________________________________________
> > Dovecot-news mailing list
> > Dovecot-news@dovecot.org
> > http://dovecot.org/cgi-bin/mailman/listinfo/dovecot-news
> _______________________________________________
> Sysadmins mailing list
> Sysadmins@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sysadmins