「sendmail 8.12.xにDNS経由で任意コードが実行可能な穴」記事へのコメント

実行可能かどうかはまだ分っていないはず

[Technical Type (3408)]

アナウンス [sendmail.org]に

Note that only FEATURE(`enhdnsbl') uses a DNS map. We do not have an assessment whether this problem is exploitable, however, if you use a DNS map and an 8.12 version older than 8.12.9, then either upgrade (strongly recommended) or apply the trivial patch given below.

とある通りですが、自分の Sendmail が DNSMAP オプション付きでコンパイルされているかどうか、また enhdnsbl 機能を使っているかどうかも判らない人がメールマスターをやっているなら、今回のはバグには違いないので

ただのちゃちゃ

[Anonymous Coward]

セキュリティーに敏感でスキルのあるメールマスターならとっくに qmail に移行すべきです

確かに qmail の方が問題は少ないかも

[Technical Type (3408)]

おっしゃる通りですね。最近出たのは7月15日の QMail-SMTPD-Auth True Program Remote E-Mail Vulnerability [securityfocus.com] ぐらいだしね。

Re:確かに qmail の方が問題は少ないかも

[lucky (14762)]

それは、単なるユーザのパッチなので qmail とはいえないのでは？ qmail 自体は、少なくとも 1997 年以降、セキュリティーホールは発見されていないようですけど。このページ The qmail security guarantee [cr.yp.to] では、

In March 1997, I offered $500 to the first person to publish a verifiable security hole in the latest version of qmail: for example, a way for a user to exploit qmail to take over another account.

My offer still stands. N

Re:確かに qmail の方が問題は少ないかも

[Technical Type (3408)]

設定をミスっても Open Relay に悪用されないようにするための非公式パッチなようですが、 qmail は設定ミスると Open Relay に悪用されるのを脆弱性と言わないなら、それはそれで一つの考えかも。

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

「何言ってんだこの人は」って思った人は俺だけですか？
最後は否定的肯定で〆てますが、その否定自体が間違ってる。
設定を間違ってもOpenRelayにならないMTAって何ですか？

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

きっと中継機能事態が無いメールサーバーだったんですよ
#ってあるのかな？

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

＞設定を間違ってもOpenRelayにならないMTAって何ですか？

決してOpenRelayはできません。
その上ユーザは設定も必要ありません。

by Sobig

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

ローカル配信がなくて、中継しかできないやつはありそうだ。

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

うちのLANケーブルには脆弱性があります。

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

qmailの勧誘方法に脆弱性があります。

Re:確かに qmail の方が問題は少ないかも

[Anonymous Coward]

qmailの一部の勧誘者の言動の中にはしばしば危弱性を見かけます。