+++ This bug was initially created as a clone of Bug #15624 +++ CVE-2009-2632 cyrus-imapd-2.2 Ein Bufferoverflow in Sieve kann zum Ausführen von Schadcode mit den Rechten des "sieve"-Benutzers führen. Der Bufferoverflow kann durch ein manipuliertes Sieve-Skript getriggert werden.
Weitere Lücken im Sieve Code: * Mehrere Bufferoverflows im Sieve Parsing Code erlauben Denial of Service und möglicherweise das Ausführen von Schadcode mit den Rechten des "sieve"-Benutzers. Der Bufferoverflow kann durch ein manipuliertes Sieve-Skript getriggert werden. (CVE-2009-3235) Patches hängen an http://bugs.debian.org/547947
Es gibt ein neues Debian Paket, dass beide CVEs fixed: http://security.debian.org/pool/updates/main/c/cyrus-imapd-2.2/cyrus-imapd-2.2_2.2.13-10+etch4.dsc
Das Paket wurde aus Debian old-sec in den sec2.2-4 Scope importiert und mit den aus ucs_2.2-0 übernommenen Patches gebaut. Das Neue Paket bringt im 0024-upstream-fix-sieve.dpatch die upstream Fixes mit, die am Debian Bug notiert sind.
Der Patch wird korrekt angewendet und Cyrus wurde für amd64 und x86 gebaut. Ich habe die groupware-Tests aus ucs-test laufen lassen, davon schlugen einige fehl (Free/Busy und ein ACL-Test), was laut Janek aber vorkommen kann. Ich habe ausserdem mit swaks eine Mail zugestellt, die korrekt zugestellt wurde und in Horde abrufbar war. Das Changelog fehlt noch, das werde ich aber selbst nachpflegen, damit das Update heute raus kann.