[SECURITY-L] CAIS-Alerta: Vulnerabilidade no Majordomo

[CSIRT - UNICAMP]

----- Forwarded message from Centro de Atendimento a Incidentes de Seguranca <cais em cais.rnp.br> -----

From: Centro de Atendimento a Incidentes de Seguranca <cais em cais.rnp.br>
Subject: CAIS-Alerta: Vulnerabilidade no Majordomo
To: pop-seg em cais.rnp.br, rnp-alerta em cais.rnp.br, rnp-seg em cais.rnp.br
cc: wando.soares em rnp.br
Date: Mon, 7 Feb 2011 17:30:48 -0200 (BRST)

-----BEGIN PGP SIGNED MESSAGE-----

Prezados,

O CAIS está repassando o alerta divulgado pela SecurityFocus intitulado 
"Majordomo 2 'help' Command Directory Traversal Vulnerability", 
relacionado a uma vulnerabilidade presente no gerenciador de listas de 
e-mail Majordomo.

A vulnerabilidade afeta todas as versões do Majordomo2 anteriores a 
20110131.A mesma pode ser explorada por todas as interfaces do 
Majordomo2(HTTP e SMTP),permitindo que um atacante acesse diretórios no 
sistema operacional.Uma possível aplicação da vulnerabilidade é coletar 
informações (usuário e senha) dos membros da lista.

No momento da publicação deste alerta há exploração ativa desta 
vulnerabilidade através de uma prova de conceito (PoC), que explora a 
mesma na forma como a função _list_file_get() manipula consultas 
realizadas contendo as sequências de caracteres "../../"  . Ainda não se 
tem conhecimento da exploração desta vulnerabilidade em larga escala.

CORREÇÕES DISPONÍVEIS

Recomenda-se atualizar a versão do Majordomo para 20110131 ou versões 
superiores.

. Majordomo Update
  http://ftp.mj2.org/pub/mj2/snapshots/2011-02/


MAIS INFORMAÇÕES

. BID:46127
  http://www.securityfocus.com/archive/1/archive/1/516150/100/0/threaded

. ISS X-Force Database: majordomo-listfile-directory-traversal (65113)
  http://xforce.iss.net/xforce/xfdb/65113

. SECUNIA:43125
  http://secunia.com/advisories/43125

. Majordomo 2 Information for VU#363726
  http://www.kb.cert.org/vuls/id/MORO-8DRRFT


Identificador CVE (http://cve.mitre.org):

CVE-2011-0049


O CAIS recomenda que os administradores mantenham seus sistemas e
aplicativos sempre atualizados, de acordo com as últimas versões e
correções oferecidas pelos fabricantes.

Os Alertas do CAIS também são oferecidos no formato RSS/RDF e no Twitter:
http://www.rnp.br/cais/alertas/rss.xml
Siga @cais_rnp


Atenciosamente,


################################################################
#   CENTRO DE ATENDIMENTO A INCIDENTES DE SEGURANCA (CAIS)     #
#       Rede Nacional de Ensino e Pesquisa (RNP)               #
#                                                              #
# cais em cais.rnp.br       http://www.cais.rnp.br                #
# Tel. 019-37873300      Fax. 019-37873301                     #
# Chave PGP disponivel   http://www.rnp.br/cais/cais-pgp.key   #
################################################################
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.6 (GNU/Linux)
Comment: Made with pgp4pine 1.76

iQCVAwUBTVBIjekli63F4U8VAQH/4wP8D6N+ipsrE0Vt8i1HuyBxhWeruRzu317+
YJ/sYooVBWrLljQKnE1qUALNwdLI24laaFbvF+4lC6DMj6/SXeyR7j6/UtrfQKk6
GzvThCm5zM3aEJ26xB6KSUOs4/hZ2e0/8esAyqhU6kBPgClLxBLEwy8c0w5pjOwD
QykED9SWoxA=
=hBjF
-----END PGP SIGNATURE-----


----- End forwarded message -----