Fetchmail Verbose模式超大日志消息远程拒绝服务漏洞

BUGTRAQ ID: 29705
CVE(CAN) ID: CVE-2008-2711

Fetchmail是免费的软件包，可以从远程POP2、POP3、IMAP、ETRN或ODMR服务器检索邮件并将其转发给本地SMTP、LMTP服务器或消息传送代理。

Fetchmail在处理消息时存在内存访问错误，以-v -v verbose级别运行的fetchmail在试图打印超过2048字节的头时会重新调整缓冲区大小并填充消息的多出部分，但没有重新初始化其 va_list类型的源指针，因此可能会在栈上的无效地址读取数据，导致出现分段错误而崩溃。

fetchmail < 6.3.9
临时解决方法：

• 以低verbosity运行fetchmail，不要使用两个或三个-v参数。

厂商补丁：

fetchmail

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

<a href=“http://developer.berlios.de/patch/?func=detailpatch&amp;patch_id=2492&amp;group_id=1824” target=“_blank”>http://developer.berlios.de/patch/?func=detailpatch&amp;patch_id=2492&amp;group_id=1824</a>