发布日期：2000-12-06
更新日期：2000-12-06

受影响系统：

   Daniel J. Bernstein ezmlm 0.53
    - Sun Solaris 8.0
    - S.u.S.E. Linux 7.0
    - RedHat Linux 7.0
    - OpenBSD OpenBSD 2.8
    - MandrakeSoft Linux Mandrake 7.2
    - FreeBSD FreeBSD 4.2
    - Debian Linux 2.3

描述：

---

ezmlm 是邮件列表管理器，设计用来使对邮件列表的管理方便
快捷。这个软件包是 Daniel J. Bernstein 开发的，特别为使
用 Qmail MTA 而设计。它存在一个问题，这个问题使得用户可
以随意执行代码。

问题发生在软件包的 ezmlm-cgi 部分。推荐的安装把ezmlm-cgi
的权限设置为 suid root，但这一点经常没有被遵守。如果安装
为非 root 的其它用户的setuid程序，程序启动时将从当前目录
中读取它的配置文件，缺省是 /etc/ezmlm/。这将可能使得恶意
用户可以创建他/她自己的配置文件，以从 ezmlm-cgi 继承来的
权限随意执行命令。


<* 来源：vort-fu (vort@wiretapped.net) *>



建议：

---

临时解决办法：

  NSFOCUS建议您在没有升级版本或给漏洞打上补丁前务必把它设
  置为 suid root 权限，而不是其它用户的suid 权限。或者不
  把它设置 suid 位。

厂商补丁：

  暂无


浏览次数：5354
严重程度：0（网友投票）