「sendmail 8.12.xにDNS経由で任意コードが実行可能な穴」記事へのコメント

実行可能かどうかはまだ分っていないはず

[Technical Type (3408)]

アナウンス [sendmail.org]に

Note that only FEATURE(`enhdnsbl') uses a DNS map. We do not have an assessment whether this problem is exploitable, however, if you use a DNS map and an 8.12 version older than 8.12.9, then either upgrade (strongly recommended) or apply the trivial patch given below.

とある通りですが、自分の Sendmail が DNSMAP オプション付きでコンパイルされているかどうか、また enhdnsbl 機能を使っているかどうかも判らない人がメールマスターをやっているなら、今回のはバグには違いないので

ただのちゃちゃ

[Anonymous Coward]

セキュリティーに敏感でスキルのあるメールマスターならとっくに qmail に移行すべきです

確かに qmail の方が問題は少ないかも

[Technical Type (3408)]

おっしゃる通りですね。最近出たのは7月15日の QMail-SMTPD-Auth True Program Remote E-Mail Vulnerability [securityfocus.com] ぐらいだしね。

Re:確かに qmail の方が問題は少ないかも

[lucky (14762)]

それは、単なるユーザのパッチなので qmail とはいえないのでは？ qmail 自体は、少なくとも 1997 年以降、セキュリティーホールは発見されていないようですけど。このページ The qmail security guarantee [cr.yp.to] では、

In March 1997, I offered $500 to the first person to publish a verifiable security hole in the latest version of qmail: for example, a way for a user to exploit qmail to take over another account.

My offer still stands. Nobody has found any security holes in qmail.

と言っているぐらいだから。

Re:確かに qmail の方が問題は少ないかも

[Technical Type (3408)]

設定をミスっても Open Relay に悪用されないようにするための非公式パッチなようですが、 qmail は設定ミスると Open Relay に悪用されるのを脆弱性と言わないなら、それはそれで一つの考えかも。

Re:確かに qmail の方が問題は少ないかも

[akahige (16299)]

QMail-SMTPD-AuthはSMTP-Authの機能を後付けするパッチかと。

qmailはデフォルト設定ではオープンリレーは許可しませんし。
よって、自宅のマシンからプロバイダ経由で会社のメールサーバにつないで送信することも不可能。
#自宅に固定IPとかを持っていれば別ですが・・・

まあ、それだと不便だから件のパッチのようなものが出てくるわけですけどね。

こうしたパッチをあてずに満足できるならqmailは一番と個人的には思います。
いろいろやろうとすると面倒になってきますけどね。
私の手元ではメールサーバとしては内部のデーモンが管理者宛にメールを送信する程度の機能があれば
いいサーバは全部qmailにしてあります。

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

qmail って rcpthosts を作らないとオープンリレーになるよね。
わざわざファイル作らなきゃいけないのをデフォルトとは言わないのでは？

ORDB のサーバ別統計 [ordb.org] 見ると、決して qmail の登録が
少ないわけじゃないと思う。

Re:確かに qmail の方が問題は少ないかも

[IKEDA Kenji (4659)]

./config で control/locals と共に FQDN がセットされるはずです。 もしや、./config してない環境で qmail を動かすことを「デフォルト」と呼んでいるの?

いくらなんでも、それじゃあ DJB に同情したくなりますね。

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

デフォルトって、作者の意図通りにユーザが設定した状態なの？　間違ったり手順が抜けたときにも安全側に振られるようにしておくべきものだと思うのだが。

Re:確かに qmail の方が問題は少ないかも

[TxG (7966)]

Postfixやqmailはメールサーバとして使う場合に導入されるケースが多い(放置マシン等はsendmailが多い)と考えられます。

リンク先の統計に関してですが、数だけ見ても仕方ないものではないでしょうか。

MXが引けるか?
メールサーバ/ローカル利用での各MTAの利用比率は?

等の情報が(結果としての数字ではなく、設定ミスをする割合を論じるには)必要だと思います。

# でもとりあえずPostfixの少なさは立派。

正直に言うとrcpthostsをスペルミスして（笑）数日間放置してしまったことがあるのですが、チェックして気付きました。
幸いにして悪用はされていませんでしたが、いくらなんでもグローバルに置くサーバは(どのMTAを使っていても)確認しましょう。

Re:確かに qmail の方が問題は少ないかも

[IKEDA Kenji (4659)]

手順が抜けるというのも「間違った」場合だろうから一緒にするとして、./config を実行せず control/me さえ無い状態で qmail が機能するかも置くとして、control/ 下のファイルの内容も確認せずに「安全」を問われる場所のメイルサーバーを動かすことの是非も度外視したとして…

なんらかの間違いで rcpthosts を消してしまった場合、どう動くべきか?

私なんかは、間違えた通りに動いて欲しいと思ってしまう。 勝手に知らない挙動をされるのは迷惑だし。 さらに、すべて受け付けるか、すべて拒否するか、倒れる先のどちらが「安全側」かは単純には決められない。大事な顧客のメイルをすべて弾いてしまうと、顧客へのメイルが RBL で弾かれるとのでは、後者の方がまだましなので、より安全であると判断する立場だってあるはず。

なにが「安全」かといえば、make setup で ./config まで実行するようにしとくべきだったって事だろうね。

そういう話とは関係なく、あれこれ考えていて、rcpthosts が無い場合の仕様はおかしいと思うようになった。rcpthosts は受け付けるべき RCPT TO の内容を列挙するためのファイルなんだから、それがカラだったり無かったりしたら、すべて拒否する方が自然だよな。単に、RCPT TO の内容を問わないようにするだけなら、環境変数 RELAYCLIENT で実現できるわけだし、

このあたりのバランスは良くないやね。locals と rcpthosts の関係も、もうちょっといい設計ができたんではないかと思う。

Re:確かに qmail の方が問題は少ないかも

[lucky (14762)]

文章を読むと、あたかも件のパッチを当てていない qmail だけが設定を間違えると Open Relay になるかのように読めますが、パッチをあてて smtp-auth を導入したとしても、qmail 以外の MTA である sendmail、postfix、exim などを導入したとしても、間違った設定をしたら Open Relay になる可能性があるように思いますが。

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

「何言ってんだこの人は」って思った人は俺だけですか？
最後は否定的肯定で〆てますが、その否定自体が間違ってる。
設定を間違ってもOpenRelayにならないMTAって何ですか？

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

きっと中継機能事態が無いメールサーバーだったんですよ
#ってあるのかな？

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

＞設定を間違ってもOpenRelayにならないMTAって何ですか？

決してOpenRelayはできません。
その上ユーザは設定も必要ありません。

by Sobig

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

ローカル配信がなくて、中継しかできないやつはありそうだ。

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

うちのLANケーブルには脆弱性があります。

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

qmailの勧誘方法に脆弱性があります。

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

qmailの一部の勧誘者の言動の中にはしばしば危弱性を見かけます。

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

設定ミスで Open Relay になることを脆弱性といわれたらかないませんなー。

qmailのセキュリティホール

[zeissmania (3689)]

１つだけ 作者自身が発見したセキュリティホール [monyo.com]があります。

Re:qmailのセキュリティホール

[lucky (14762)]

1997 年に投稿された、QMail RCPT Denial of Service Vulnerability [securityfocus.com] のことでしょうか？これは書いてあるとおり、セキュリティーホールというより、単なる脆弱性の問題と思われます。そしてこの脆弱性は、qmail というより、それ以前にそれを走らせる環境の脆弱性であると DJB は主張しています。この脆弱性の発表者は Wietse Venema という人で postfix の作者です。彼と DJB の戦いの歴史は、この Wietse Venema's slander [cr.yp.to]ページ (Wietse Venema の言いがかり (Shinyama氏による日本語訳) [unixuser.org]) にあります。一通り目を通しておくといろいろ参考になるかと思います。