Sendmail 8.12.8以前に再びバッファ・オーバーフロー脆弱性

k3c 曰く、 "先日バッファ・オーバーフロー脆弱性が見つかったばかりのSendmailに再びバッファ・オーバーフロー脆弱性が発見された(Sendmail社の告知、CERT Advisory、JPCERT/CC Vendor Status Notes)。前回とは違う箇所だが、バグの性質は前回と同じくメールアドレスの処理に問題があるというもので、つまり、メール転送の途中経路や末端にあるSendmailサーバーでも脆弱性をついた攻撃が成立するということも同じだ。既にSendmail社からpatchが提供されているということなので速やかに当てておくべし。各ベンダの対応情報は前回と同じくJVNCAに期待しよう。
ところで、前回の脆弱性について、もう一方の雄、Postfixが長過ぎるアドレスをtruncateしてくれる機能を追加してくれましたが、今回の脆弱性についてもこの機能は有効と理解して良いのでしょうか？識者のフォロー求む。"

header_checks

[namatias (4000)]

Wietseが、前回も今回もpostfixのところで未然に防ぐ試みをする ヘッダ部のチェック方法を postfix-announce に流してくれてます。ここに書こうと思ったら、プレビュー時にエンティティが全部 普通の文字になってきちんとプレビューされなかったので、 興味のある人は自分で探してください。

Re:header_checks

[hsgw (14585)]

これ [theaimsgroup.com] かな?

Re:header_checks

[namatias (4000)]

そうです。これは今回の脆弱性に対応するものです。 前回の脆弱性に対応するヘッダチェックも同様に 流れていると思います。それは、これ [theaimsgroup.com]のようです。

Re:header_checks

[kjm (1606)]

follow されてますね。 これ [theaimsgroup.com]

Re:header_checks

[Technical Type (3408)]

Sendmail の方でも 8.12.9 のリリースノート [sendmail.org]によれば、

To provide partial protection for internal, unpatched MTAs that may be
performing 7->8 or 8->7 bit MIME conversions, the default
for MaxMimeHeaderLength has been changed to 2048/1024.

なんてのも加わったようだからこれでちょっとは・・・と自分を慰めたり。

Re:header_checks

[Anonymous Coward]

MTAとしては長すぎるものをtruncateするよりは、エラーで突っ返す方がまっとうな気がしますが・・・

ようやく

[ksb (11926)]

8.11系の最新版がリリースされています。

sendmail 8.11.7 [sendmail.org]

3月に出た2つのセキュリティホールが埋まっている模様。

またパッケージ作成→インストールか・・・・
先週客先のRed Hat Linux5.2に入れたばかりなのに・・・

Re:ようやく

[ultra_hawk_1 (13626)]

上記サイト、なんか頭に書いてある文字が、

Sendmail 8.11.8

なんですけど……。でも本文中には8.11.7と書いてあるし。

100台近くあるマシンにまた入れていかないといけないので憂鬱です。

パッチ

[k3c (4386)]

パッチについてはsendmai.orgのPatching Sendmail [sendmail.org]の方が詳しいですね。リンクを提示しておきます。

Re:パッチ

[Anonymous Coward]

かのサイトの解説ではsendmail.cfでMimeMaxHeaderの長さを2048に指定すれば避ける事ができる？
ように読めたのは甘い？？

かく言っても私はひたすらFreeBSDで make update ; make world
しまくってまふが・・・・・・さすが１５台はつらひ。。。

ため息

[IKEDA Kenji (4659)]

MTAとして動いているときにヘッダをparseすんの止めればいいのに。

Re:ため息

[saitoh (10803)]

それをしてしまうとインターネット上のメール配送機能しかできなくなるような気がする。 あと、spam対策等でヘッダを見る必要があるので、何らかのparseは どうせ必要なのでは？

Re:ため息

[doripush (653)]

spam対策をMTAが行うのもどうかと思うけど、仕方が無いのか?

Re:ため息

[Anonymous Coward]

> インターネット上のメール配送機能しか ...
純粋に疑問です。それ以外の機能って、 MTA に要求されるべきなんでしょうか?

Re:ため息

[Anonymous Coward]

欲しい人はやっぱりいるわけで、不必要と断じるべきではないでしょう。
でも、少なくともその手の作業は全部root権限落としてからやって欲しいですね。
sendmailがどうなっているかは調べたこと無いですが。

もっとも、権限落としたら落としたで、rootな部分と通信しなければならないですから、通信部分がバグっていると、新たなセキュリティホールになります。それでも、バイナリで通信すればいいのと、通信相手が1種類しかいなくて、チェック基準を相当厳しくできるのとで、少しは楽でしょう。

Re:ため息

[Anonymous Coward]

ここでのポイントは「インターネット上の」でしょう。
UUCP など、TCP/IP とは別の手段を使う場合、それらの上で「メールを配送する」機能が必要になります。

Re:ため息

[IKEDA Kenji (4659)]

UUCPなどの場合に、MTAとして動いているsendmailはヘッダをparseしないと配送できないのでしょうか?

Re:ため息

[Anonymous Coward]

こちらを参考のこと。

[8] ヘッダの扱い - インターネットメールの注意点: [so-net.ne.jp]

# 上のコメントのどこが参考になる？

あれ？

[sinbo (5231)]

このニュース、日本語版は１日前にここ [cyberpolice.go.jp]に出てましたよ。

--
---- sinbo