The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

В Evolution найдена уязвимость, позволяющая выполнить код при открытии письма

04.06.2008 22:42

В почтовом клиенте Evolution обнаружены две критические уязвимости:

  1. "Evolution iCalendar Timezone Buffer Overflow" - выполнение кода злоумышленника в момент открытия специальным образом скомпонованного письма, содержащего приложение в формате iCalendar с некорректными данными в поле часового пояса. Уязвимость проявляется только при отключенном плагине форматирования вывода ITip;
  2. "Evolution iCalendar "DESCRIPTION" Property Buffer Overflow" - возможность выполнения кода злоумышленника при попытке ответить из окна "Calendars" на письмо с iCalendar запросом, содержащим слишком длинное значение свойства "DESCRIPTION".

Наличие уязвимостей подтверждено в Evolution 2.22.1 и более ранних версиях. 26 мая был выпущен релиз 2.22.2 в который также не были внесены исправления, так как уведомление разработчикам было отправлено 27 мая.

  1. Главная ссылка к новости (http://secunia.com/advisories/...)
  2. frsirt.com: Evolution iCalendar Attachment Handling Buffer Overflow Vulnerabilities
  3. Red Hat Security Advisory: Critical: evolution security update
  4. Red Hat Security Advisory: Important: evolution security update
  5. Current Stable Release Download
  6. Патч
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/16301-evolution
Ключевые слова: evolution, security, mail
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (45) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, vitek (??), 23:19, 04/06/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    гляжу! и точно!!!
    как открываю письмо, так какой-то софт выполняется!
     
  • 1.2, kostbebix (?), 23:19, 04/06/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    iProkololis' эти эволюшн...

    p.s.: ну вот почему всегда уязвимости заставляют посмотреть на продукт? В особенности люблю почитать исходники пхп-поделий после сообщений об их численных уязвимостях

     
     
  • 2.6, Щекн Итрч (?), 02:14, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    ну и как? :)
    пхп-поделия страдают от вашего взгляда? :)
     
     
  • 3.8, kostbebix (?), 02:21, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >ну и как? :)
    >пхп-поделия страдают от вашего взгляда? :)

    Да если бы... Наоборот, все чинятся да популярность обретают :'(

     

  • 1.3, Mikk (?), 00:29, 05/06/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Вот тебе и никс на десктопе. rm -rf ~/*. Касперский там собирался антивирус для никсов выпускать?
     
     
  • 2.4, kostbebix (?), 00:33, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Вот тебе и никс на десктопе. rm -rf ~/*. Касперский там собирался
    >антивирус для никсов выпускать?

    И что вирусного в этом вы нашли? Все, как бы, нормально. Юзер-данные и под вендой нормально удаляются.

    С другой стороны попробуйте прожить в виндовс не качая креков и не устанавливая софт из жопы (качать непонятно откуда), а не как в линухе йумы и апт-геты.

     
     
  • 3.5, Mikk (?), 00:37, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Паршиво всё это. Системы сложнее, уязвимее и никуда от этого не деться :-/
     
     
  • 4.7, Щекн Итрч (?), 02:16, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    код, написанный с "security in mind" - живет без патчей десятилетиями :) и никаких "уязвимостей" :)
     
     
  • 5.20, Michael Shigorin (ok), 12:21, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    "Никаких" -- это довольно громко, даже в mutt изредка бывали.  И не только...
     
  • 2.26, Анонимус (?), 16:29, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Смысл антивируса на свободной ОС поясните?
     
     
  • 3.30, pavlinux (ok), 18:26, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Смысл антивируса на свободной ОС поясните?

    На шлюзЕ, на сквидЕ, на самбЕ.... итеде

     

  • 1.9, pavlinux (ok), 04:49, 05/06/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Каму ехплойтик, каму горяченький !!!

    Вражеское письмо
    http://bugzilla.gnome.org/attachment.cgi?id=111718&action=view

    Послать эту месагу при помощи сендмыла
    # /usr/sbin/sendmail <address-druga> < test.eml

    и открыть в evolution  

    Ну и патчик поглядите - http://bugzilla.gnome.org/attachment.cgi?id=111733&action=view


     
     
  • 2.16, vitek (??), 10:58, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    разослать друзьям 16 раз
    иначе сшастя не видать
     
     
  • 3.24, pavlinux (ok), 14:42, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >разослать друзьям 16 раз
    >иначе сшастя не видать

    ага ещё бы к ниму vmsplice с "dd if=/dev/zero of=/dev/root" приклеить ...

     

  • 1.12, unihorn (?), 08:23, 05/06/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >С другой стороны попробуйте прожить в виндовс не качая креков и не устанавливая софт из жопы (качать непонятно откуда), а не как в линухе йумы и апт-геты.

    Вот тебе "репозиторий" (кстати законный, креков на нем, уже давно нет): http://samlab.ws/ .

    На "не законные с креками" приводить ссылки не буду. Но такие "репозитории" тоже есть. :)

    А хочешь покупать, то вот еще один, скажем: http://allsoft.ru.

    И что законные, что не законные, что покупные, имеют средста "поиска пакетов" не хуже чем в ясте с синаптиком.

    Знаешь. И некоторые репозитории для "йума и ап-гета", тоже поискать надо: там репозитории с версиями по новее, чаще обновляющиеся, или еще, почему, там, удобнее ("стандартные" не плохи, но порой не достаточны..., и не скажу, что недостаточными они бывают редко).

    Если ты считаешь, что "йумы и ап-геты" поставляются с полным списком репозиториев, но или хотя-бы, с закоментированным полным списком (по умолчанию не видным), то ты сильно ошибаешся.

    Поэтому винда виндой (ее глюки-глюками). Но про "качанье, под Виндой, из жопы, не известно откуда", и про "идеальный", с этой точки зрения Линукс, это бред красноглазия.

     
     
  • 2.15, kostbebix (?), 10:33, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Если ты считаешь, что "йумы и ап-геты" поставляются с полным списком репозиториев,
    >но или хотя-бы, с закоментированным полным списком (по умолчанию не видным),
    >то ты сильно ошибаешся.

    Я вот этот абзац не сильно понял. Что за закомментированый полный список, по умолчанию не видный?

     
  • 2.17, andunix (?), 11:22, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Вот тебе "репозиторий" (кстати законный, креков на нем, уже давно нет): http://samlab.ws/
    >.

    Да ну нафиг, я лучще в синаптике галочки порасставляю.
    Гораздо проще, чем типа: I agree, next, next, finish


     
  • 2.27, Анонимус (?), 16:41, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Вот тебе "репозиторий" (кстати законный, креков на нем, уже давно нет): http://samlab.ws/

    Поиск только полнотекстовый гугловский. Разделов софта нет. Пакетов нет (все файлы разные и требуют установки по разному). Куча непонятной рекламы. Какой же это репозитарий? Это самая настоящая жопа.

     

  • 1.13, Fenix (??), 09:55, 05/06/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    ну и что эта уязвимость дает? ну потру я свои файлы (ярлычки на столе :) ) и что система уязвимее стала? подумаешь какой ужас. В винде код будет выполняеться с привилегиями админа и доступ к 0 уровню получает, а тут "Страшный узбекский вирус" Тем более что уязвимость устранят в ближайшие часы.
    Не приготовить яичницу не разбив яйца © сперто.
     
     
  • 2.21, Michael Shigorin (ok), 12:25, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >ну и что эта уязвимость дает? ну потру я свои файлы (ярлычки
    >на столе :) ) и что система уязвимее стала? подумаешь какой
    >ужас.

    Не следует недооценивать возможность исполнения произвольного стороннего кода на своих системах.  Эта уязвимость даёт, например, возможность знатно проспамить с полученной системы.  Или использовать для дальнейших атак (хотя тут root уже полезней).

    >В винде код будет выполняеться с привилегиями админа

    Это если пробитый пользователь был админом.

    Иными словами -- не стоит думать, что чугунные заслонки на глазах помогают.

     
     
  • 3.25, Fenix (??), 15:31, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Нифига это не получиться. чтобы поспамить надо вначале права рута получить. В винде же любой пользователь с любым уровнем доступа - ходячая бомба. Вирусяге пофиг что прав нет у пользователя, оно само сможет сломать систему и получить доступ высокого уровня
     
     
  • 4.29, Остап Бендер (?), 18:09, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Нифига это не получиться. чтобы поспамить надо вначале права рута получить. В
    >винде же любой пользователь с любым уровнем доступа - ходячая бомба.
    >Вирусяге пофиг что прав нет у пользователя, оно само сможет сломать
    >систему и получить доступ высокого уровня

    Фигня это. Сам лично видел, как спамил троян запущенный "в среде" огнелиса. То бишь юзер какой-то сайт просмотрел, зацепил на нем трояна, а тот троян начал слать спам. Отправитель был локалхост. Спам пёр пока не ребутнул систему. После руткитов не было обнаружено и система была один к одному с образом.
    То есть вирус был исполняемым "в среде" огнелиса. Оттуда же и спамил.  Вот так вот.
    Жаль что сразу не сообразил, дамп памяти не сделал.

     
     
  • 5.38, vitek (??), 12:16, 06/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Спам пёр пока не ребутнул систему. После руткитов не было обнаружено и система была один к одному с образом.

    это потому, что только ребутнул
    а если бы еще из розетки выдернул, оторвал rj-45 и очистил bios (обычно перемычка на маме, но можно ножки закоротить, предварительно вытащив батарейку) - вот тогда бы точно rootkit установился.
    readme короче читать надо перед установкой софта.

     
  • 4.34, Michael Shigorin (ok), 00:28, 06/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Нифига это не получиться. чтобы поспамить надо вначале права рута получить.

    Так... ладно.  Вопрос на засыпку: чтоб одно письмо отправить, тоже надо "вначале права рута получить"?  Буду также заинтересован узнать, что особенного дают "права рута" для данной конкретной задачи, с позволения сказать.  Чушь выше этого никак не поясняет.

     
     
  • 5.37, Остап Бендер (?), 11:54, 06/06/2008 [^] [^^] [^^^] [ответить]  
  • +/

    >Чушь выше этого никак не поясняет.

    В каком месте чушь?

     

  • 1.14, Crazy Alex (?), 09:58, 05/06/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Конечно, кому как, но мне давно хватает двух источников: официального репозитория и домашних страниц программ, если хочется посвежее или в офф. этого софта нет. Впрочем, в винде можно делать то же самое - смотреть на сайтах вроде вышеуказанных, а брать - с домашних страниц. Вот только крэки-то все равно черт знает откуда тянуть придется.

    Кстати, если уж проводить параллели - эти сайты - аналог фрешмита, а никак не юма/аптитюда (кто там апт-гет тащит до сих пор?) - ибо ни сравнивать версии, ни пакетно обновлять, ни прочие функции выполнять они ну никак не могут...

     
     
  • 2.22, Michael Shigorin (ok), 12:30, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >никак не юма/аптитюда (кто там апт-гет тащит до сих пор?) -

    JFYI: если есть и работает libapt, то apt-get или aptitude поверх -- это уже гораздо меньше разницы.  Хоть авторы и напихали в них достаточно кода, которому место в библиотеке.

    PS: втолковывать виндузятникам, что такое нормальная работа с пакетным софтом -- кажется, безнадёжно :-(

     

  • 1.18, Аноним (18), 11:52, 05/06/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >ну и что эта уязвимость дает? ну потру я свои файлы (ярлычки на столе :)

    А я почту на сервере не читаю. А на рабочей станции все в ~, а там ой-ой документов всяких. А как-то раз в процессе эксперимента вообще свалил убунту, так день с лайв-сиди проработал, только винт примонтировал и все. Такчто живость ОС - не показатель, сохранность пользовательской информации наше все. Жаль, что линукс в этом плане стремится к винде.

     
     
  • 2.19, rt (??), 12:10, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    > Жаль, что линукс в этом плане стремится
    >к винде.

    Вроде как речь  об evolution, а не о linux


     

  • 1.23, Аноним (23), 13:31, 05/06/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Q26: а вот в линухе провалилась эпопея с XXX и её из главветки убрали...
    A26: я с самого начала считал её неудачным схемным реЩением!
         да и не юзал никогда. мамой клянусь!!
     
  • 1.28, Анонимус (?), 16:49, 05/06/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Какая-то странная реакция у публики. Невнятные сравнения с внидой. Любезные друзя, не забывайте, что в винде фикс очередной дыры убивающий всю систему воспринимается как мана небесная.
     
  • 1.31, Piter Ring (?), 19:12, 05/06/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    параноидальному модератору
    (за тобой что, ВВ следит или двуглавый орел????)
    -----------------------------
    Где мессаги с №№ 10,11б 15   ???
    там что, были затронуты "проприетарные" темы для этого форума???
    или присутствовала ненормативная лексика?
    Я всегда подписываюсь под своими месагами и мыло всегда укказано, если есть вопросы -
    пиши на мыло, а то покусали нах... все обсуждение,  в конце концов нифига не понятно кто о чем.


     
     
  • 2.35, Michael Shigorin (ok), 00:34, 06/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >параноидальному модератору
    >(за тобой что, ВВ следит или двуглавый орел????)
    >-----------------------------
    >Где мессаги с №№ 10,11б 15   ???

    Предположительно там же, где и прочий шум, которому нечего делать в архиве...
    не знаю, кого Вы назвали "параноидальным", я убирал одно. :)

    Возможно, дело не в наличии "вопросов на мыло", а в отсутствии смысла?

     
     
  • 3.39, Piter Ring (?), 14:53, 06/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >>параноидальному модератору
    >>(за тобой что, ВВ следит или двуглавый орел????)
    >>-----------------------------
    >>Где мессаги с №№ 10,11б 15   ???
    >
    >Предположительно там же, где и прочий шум, которому нечего делать в архиве...
    >
    >не знаю, кого Вы назвали "параноидальным", я убирал одно. :)

    в этой ветке - одно, а востальных осуждениях кто убирает ?


    >
    >Возможно, дело не в наличии "вопросов на мыло", а в отсутствии смысла?
    >

    а в сообщении #1  много смысла ??
    но его то ты не убрал.

     

  • 1.32, unihorn (?), 21:48, 05/06/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Это у нас, что http samlab ws category D У всех стандартные, виндовые, ин... большой текст свёрнут, показать
     
     
  • 2.33, unihorn (?), 21:51, 05/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Инсталятор групирует все пакеты относящиеся к одной программе в один

    Виндовый инсталятор.

     
  • 2.40, Дмитрий Т (?), 16:44, 06/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Похоже многие не понимают разницы между инсталляторами в Windows и системой пакетов в линукс дистрибутивах, поэтому постараюсь пояснить поскольку сам делал инсталляции.

    Windows:
    - инсталлируемые файлы в зависимости от инсталлятора находятся в различных форматах;
    - инталляторы _сами_ копируют новые файлы и могут _без_предупреждения_ менять чужие библиотеки, поскольку часто не проверяют версии;
    - инсталлированные файлы могут оказаться совсем не там где вы ожидаете, поскольку каждая программа инсталляции это самостоятельный продукт, зачастую не сильно волнующий Microsoft, он может вообще отказаться запускаться в новой версии Windows.

    Linux (у меня Debian):
    - инсталлируемые файлы находятся в архиве с известной структурой, содержащей описание зависимостей от используемых библиотек, перечень какие файлы куда должны быть скопированы и если необходимо скрипты - такой архив называют пакетом;
    - пакеты можно легко просматривать как обычные архивы и вынимать нужные файлы;
    - открытый формат позволят легче контролировать на отсутствие ошибок и троянов;
    - инсталляция обычно производится единой для всех пакетов программой, анализирующей базу данных установленных пакетов и предупреждающей пользователя о выявленных несовместимостях программного обеспечения;
    - можно легко настроить автоматическое обновление _любого_ пакета или всей операционной системы с пользовательскими программами, а не изобретать программистам каждого программного продукта свой велосипед для обновления;
    - установка комплекса программ легко записывается в скрипт на вашем любимом языке;
    - наличие базы данных пакетов позволяет искать нужные программы по описанию, делать поиск в неофициальных базах, проверять контрольную сумму каждого файла, узнавать откуда у меня такой-то файл.

    Возможно есть ещё плюсы пакетов перед использованием инсталляций.

     

  • 1.36, SirYorik (?), 06:11, 06/06/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > Касперский там собирался антивирус для никсов выпускать?

    незнаю про каспера.
    а вот докторвеб давненько десктопный антивирь на сайте разместил.
    надо тока ключик прикупить, или от уже прикупленной виндовой версии ключик дать можно.

     
  • 1.41, unihorn (?), 20:06, 06/06/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    TXT, DOC, EXE Или архивы, в которых они расположены разные CAB, не CAB Если... большой текст свёрнут, показать
     
     
  • 2.42, kostbebix (?), 20:19, 06/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    > много букв

    пока вы спорили уже даже моя федора обновила evolution, закрыв эту дырку

    p.s.: слабо такую оперативность от М* получить? :-)

     
     
  • 3.43, unihorn (?), 21:26, 06/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >p.s.: слабо такую оперативность от М* получить? :-)

    А мы про нее и не говорили. :) А говорили про якобы "жопу с ПО", в Винде. Глюки Винды, глюками, оперативность, оперативностью. Но "Жопы с ПО", вопреки широкому мнению, нет.

    И кстати говоря, слишком оперативным быть тоже плохо ("поспешишь, людей насмешишь").

    А то будет как недавнее "обновление" Опен Офиса в Убунте (половина пакетов была сломана). :)

     
     
  • 4.44, vitek (??), 02:38, 07/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    бывает и хуже.
    ждут-ждут очередной Service Pack и дожидаются и ..
    экран смерти.
     
     
  • 5.45, Vladimir (??), 16:03, 07/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >бывает и хуже.
    >ждут-ждут очередной Service Pack и дожидаются и ..
    >экран смерти.

    И вот тут откатиться не так легко как в том же линуксе :)
    Кстати тут выше сказали про поломанные зависимости в убунте, когда эт было, а то каждый день обновляюсь и не заметил, все работает.

     
     
  • 6.47, unihorn (?), 00:52, 10/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Кстати тут выше сказали про поломанные зависимости в убунте, когда эт было, а то каждый >день обновляюсь и не заметил, все работает.

    1 июня, коли память не отбило. Потом я, и еще кто-то на лаунчпаде ("еще кто-то" был раньше, я продублировал :( ) про баг постили. Сейчас исправили, но то, что они "выпустили слишком оперативно", это факт.

     
  • 4.46, kostbebix (?), 17:25, 07/06/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >А мы про нее и не говорили. :) А говорили про якобы
    >"жопу с ПО", в Винде. Глюки Винды, глюками, оперативность, оперативностью. Но
    >"Жопы с ПО", вопреки широкому мнению, нет.
    >
    >И кстати говоря, слишком оперативным быть тоже плохо ("поспешишь, людей насмешишь").
    >
    >А то будет как недавнее "обновление" Опен Офиса в Убунте (половина пакетов
    >была сломана). :)

    А разве руками обновлять все то ПО в винде - не жопа? Согласен что совсем уж "жопы" как таковой нету (не помню чтоб я уж так сильно мучался в годы когда на венде сидел), но после перехода на линух теперь я на такое не соглашусь.

    А насчет спешки - это есть такое. Но в федоре 9й был совершен переход с yum'а на packageKit (также заменен pirut). Все кричали "убожество", а сейчас допиливают потихоньку и понимаешь прелести. Одна из них, к примеру, в том, что с обновлениями такими не спешат, зато если есть дыры типа как с эволюшн - появляется сообщение красненькое "найдены критические обновления" (или вроде того) "рекомендуем обновить систему". Вот.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру