当前位置: 安全纵横 > 安全公告

Fetchmail SSL证书空字符验证漏洞

更新日期:2009-08-05
受影响系统:
Eric Raymond Fetchmail 6.3.x
描述:
Fetchmail是免费的软件包,可以从远程POP2、POP3、IMAP、ETRN或ODMR服务器检索邮件并将其转发给本地SMTP、LMTP服务器或消息传送代理。
一些CA所签名的证书在ITU-T X.509证书的Common Name或subjectAltName字段中包含有嵌入的空字符,Fetchmail在处理这种X.509字符串时会将其处理为终止符,因此只会检查空字符的之前部分。例如,名称为www.good.example\0www.bad.example.com 的证书会被错误的处理为www.good.example 。这就允许攻击者伪造合法域的证书,执行中间人攻击。
厂商补丁:
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:

http://developer.berlios.de/project/showfiles.php?group_id=1824