Vulnerability ID 2484

Alt-N MDaemon bis 9.0.6 POP3 Server USER Heap-based Pufferüberlauf

CVSSv3 Temp ScoreAktueller Exploitpreis (≈)
7.0$0-$1k

Die Server-Software Mdaemon ermöglicht das Anbieten der Dienste SMTP, POP3, IMAP4 und LDAP auf UNIX- und Windows-Systemen. Zwei kroatische Sicherheitsexperten haben zwei Pufferüberlauf-Schwachstellen in den Versionen bis 9.0.6 identifiziert. Diese betreffen die Kommandos USER und APOP im POP3-Modul des Systems. Durch das Nutzen überlanger Zeichenketten ist das Ausführen beliebigen Programmcodes möglich. Technische Details sind im Advisory enthalten. Ebenso ein Link auf einen in C geschriebenen proof-of-concept Exploit. ALT-N hat das Problem durch eine aktualisierte Software-Version behoben. The vulnerability is also documented in the databases at SecurityFocus (BID 19651), X-Force (28517), Secunia (SA21595), SecurityTracker (ID 1016729) and Vulnerability Center (SBV-12583). Similar entries are available at 2645, 33104 and 49244.

Für den Vulnerability Scanner Nessus wurde am 23.08.2006 ein Plugin mit der ID 22256 (MDaemon < 9.0.6 POP3 Server USER / APOP Command Remote Overflow) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Windows zugeordnet und im Kontext remote ausgeführt.

Diese Schwachstelle zeigt, dass die Entwickler der Mdaemon-Software nicht damit gerechnet haben, dass ein böswilliger Benutzer unerwartete Kommandos und Parameter übergibt. Diese Unterschätzung der Anwender hat schon so manche Sicherheitslücke ermöglicht, die mit einfachen Mitteln vermieden hätte werden können.

CVSSv3

Base Score: 7.3 [?]
Temp Score: 7.0 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:X/RL:O/RC:C [?]
Zuverlässigkeit: High

CVSSv2

Base Score: 6.8 (CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P) [?]
Temp Score: 5.9 (CVSS2#E:ND/RL:OF/RC:C) [?]
Zuverlässigkeit: High

AVACAuCIA
LHMNNN
AMSPPP
NLNCCC
VectorComplexityAuthenticationConfidentialityIntegrityAvailability
LocalHighMultipleNoneNoneNone
AdjacentMediumSinglePartialPartialPartial
NetworkLowNoneCompleteCompleteComplete

CPE

Exploiting

Klasse: Pufferüberlauf
Auswirkungen: Programmcode ausführen
Lokal: Nein
Remote: Ja

Verfügbarkeit: Ja
Zugang: öffentlich
Programmiersprache: Perl
Autor: Leon Juranic
Download: infigo.hr

Aktuelle Preisschätzung: $10k-$25k (0-day) / $0-$1k (Heute)

0-Day$0-$1k$1k-$2k$2k-$5k$5k-$10k$10k-$25k$25k-$50k$50k-$100k$100k-$500k
Heute$0-$1k$1k-$2k$2k-$5k$5k-$10k$10k-$25k$25k-$50k$50k-$100k$100k-$500k


Nessus ID: 22256
Nessus Name: MDaemon < 9.0.6 POP3 Server USER / APOP Command Remote Overflow
Nessus File: mdaemon_906.nasl
Nessus Family: Windows
Nessus Context: remote
Exploit-DB: 2245

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 2 Tage seit gefunden

Upgrade: MDaemon 9.06
Patch: altn.com

Snort ID: 1866
Snort Class: attempted-admin
Snort Message: PROTOCOL-POP USER overflow attempt
PaloAlto IPS: 30453

Fortigate IPS: 13661

Timeline

21.08.2006 Schwachstelle gefunden
21.08.2006 +0 Tage SecurityFocus Eintrag zugewiesen
21.08.2006 +0 Tage VulnerabilityCenter Eintrag zugewiesen
22.08.2006 +1 Tage Exploit veröffentlicht
22.08.2006 +0 Tage EDB Eintrag veröffentlicht
22.08.2006 +0 Tage SecurityTracker Eintrag erstellt
23.08.2006 +1 Tage Advisory veröffentlicht
23.08.2006 +0 Tage Secunia Eintrag erstellt
23.08.2006 +0 Tage Nessus Plugin veröffentlicht
23.08.2006 +0 Tage OSVDB Eintrag erstellt
25.08.2006 +2 Tage CVE zugewiesen
26.08.2006 +1 Tage NVD veröffentlicht
27.08.2006 +1 Tage VulnerabilityCenter Eintrag erstellt
29.08.2006 +2 Tage VulDB Eintrag erstellt
17.06.2014 +2849 Tage VulnerabilityCenter Eintrag aktualisiert
07.07.2015 +386 Tage VulDB Eintrag aktualisiert

Quellen

Advisory: infigo.hr
Person: Sasa Jusic/Leon Juranic
Firma: INFIGO IS
Status: Bestätigt
Bestätigung: files.altn.com

CVE: CVE-2006-4364 (mitre.org) (nvd.nist.org) (cvedetails.com)

SecurityFocus: 19651 - Alt-N MDaemon Multiple Remote Pre-Authentication POP3 Buffer Overflow Vulnerabilities
Secunia: 21595 - MDaemon POP3 Server Buffer Overflow Vulnerabilities, Moderately Critical
X-Force: 28517 - MDaemon POP3 server USER and APOP command buffer overflow, High Risk
SecurityTracker: 1016729 - MDaemon Buffer Overflow in USER and APOP Commands Lets Remote Users Execute Arbitrary Code
Vulnerability Center: 12583 - Alt-N Mdaemon POP3 Server Heap Based Buffer Overflows Allow Remote DoS and Code Execution, High
OSVDB: 28125 - MDaemon POP3 Server USER / APOP Command Remote Overflow
Vupen: ADV-2006-3361

Siehe auch: 2645, 33104, 49244

Eintrag

Erstellt: 29.08.2006
Aktualisierung: 07.07.2015
Eintrag: 100% komplett