Еще одна дырка в Sendmail/ Sendmail 8.12.9 is out

0

0

Michal Zalewski обнаружил еще одну проблему в sendmail, которая потенциально позволяет удаленно получить контроль над машиной, где этот sendmail запущен. Проблема представляет собой buffer overflow в коде разбора адреса. Опасность представляют любые источники непроверенных данных, включая и DNS. Во вновь вышедшем sendmail 8.12.9 эта проблема исправлена.

Никакие поставщики OS еще не предлагают пакетов с исправлениями и скорее всего не предложат до понедельника. Спешка в опубликовании информации вызвана тем что "какой-то безответственный человек описал проблему в открытом списке рассылки".

С чем всех и поздравляю.

>>> Подробности

Ссылка

←	Почему 9ая версия RedHat'a без точки? - 10 причин!

Выбран новый лидер проекта Debian

→

← 1 2 →

Опять пришли времена, когда дырки в sendmail находили каждую неделю. :)

ivlad ★★★★★
(29.03.03 23:02:22 MSK)

Ответ на: комментарий от ivlad 29.03.03 23:02:22 MSK

> Опять пришли времена, когда дырки в sendmail находили каждую неделю.

А это циклический процесс, по мере открытия новых классов уязвимостей. buffer overflow, format string, теперь вот int overflow.

anonymous
(29.03.03 23:13:34 MSK)

Ссылка

сендмэйл - рулез! лучше только бинд !

anonymous
(29.03.03 23:19:27 MSK)

Ссылка

sendmail 8.12.9 available

пока rh пошевелится:

ftp://ftp.ptc.spbu.ru/people/artur/sendmail-8.12.9-1.src.rpm

arto ★★
(29.03.03 23:21:52 MSK)

Ссылка

"какой-то безответственный человек описал проблему в открытом списке рассылки".

а именно в bagtraq'е, bagtraq рулит !!!
а человек правильно сделал что описал проблему

anonymous
(29.03.03 23:31:54 MSK)

Ответ на: комментарий от anonymous 29.03.03 23:31:54 MSK

> а именно в bagtraq'е, bagtraq рулит !!!

Иди сначала подпишись на этот самый bugtraq. Репорт был в full-disclosure.

anonymous
(29.03.03 23:35:34 MSK)

Ссылка

=]]]] как в старые добрые времена =]]]]

anonymous
(29.03.03 23:59:05 MSK)

Ссылка

Вот и ставь после такого себе на машину sendmail ;) если каждый вечер не обновлятся, то по утрам будешь находить root-kit-ы на машине ;) конечно это гипербола, но все-же...

~~sseREGa~~ ☆
(30.03.03 00:21:07 MSK)

(на ЛОРе вроде бы вел себя все время культурно, но тут прорвало... сорри...)

Пилять!!! Заипали!!! Сцуки!!! Ребята, тяжко сисадмину из ISP!!! Это что, мля, в воскресенье на работу 3.14здовать??? Ок, последний раз -и ипись оно ясным пламенем! Настал психологический момент ставить перед начальством вопрос о postfix-е.

Rolex ★★
(30.03.03 00:22:07 MSK)

Ответ на: комментарий от sseREGa 30.03.03 00:21:07 MSK

> Вот и ставь после такого себе на машину sendmail

Че ты ноешь? Не ставь, не обновляйся, не просыпайся. Тебя заставляет кто-то?

anonymous
(30.03.03 00:31:05 MSK)

Ответ на: комментарий от Rolex 30.03.03 00:22:07 MSK

> Пилять!!! Заипали!!! Сцуки!!!

Еще один. Алле, меня слышно? Иди к мамке, пососи сиську. А потом утри сопельки и поставь postfix или кумыло. Тебя никто не ипал и sendmail ставить не заставлял. Не нравится -- сиди голодный.

anonymous
(30.03.03 00:33:31 MSK)

Ссылка

zakril 25 port na svoem domashnem web/mail/ftp/ircd servake i poshel buhat :) kakogo hrena v vihodnie vse ravno pochti ne mnogo.... v ponedelnik eto dermo menyayu na postfix....... Best wishes :)

anonymous
(30.03.03 00:40:06 MSK)

Ссылка

> какой-то безответственный человек описал проблему в открытом списке рассылки

угу... green на lor

> а именно в bagtraq'е, bagtraq рулит !!!

еще один красноглазик. научись сначала имя листа писать. запарили пионеры

anonymous
(30.03.03 01:07:42 MSK)

Ответ на: комментарий от anonymous 30.03.03 00:31:05 MSK

> Че ты ноешь? Не ставь, не обновляйся, не просыпайся. Тебя заставляет кто-то?

А кто сказал что я ною?? sendmail я и так давно не использую, просто удивляюсь как народ его еще терпит ;)

~~sseREGa~~ ☆
(30.03.03 01:13:30 MSK)

Ответ на: комментарий от sseREGa 30.03.03 01:13:30 MSK

> просто удивляюсь как народ его еще терпит

Гыыыыыыы. А ты кто такой, шоб удивляться по такому поводу? Может, похвастаешь, какой ты опытный postmaster?

anonymous
(30.03.03 01:18:31 MSK)

Ссылка

> Гыыыыыыы. А ты кто такой, шоб удивляться по такому поводу? Может, похвастаешь, какой ты опытный postmaster?

А разве для того, что-бы удивлятся чему-либо надо быть гуру обязательно? Я не утверждаю что я руль в настройки MTA всяких, я просто удивлен тем, что такая вещь как sendmail еще жива. Удивляюсь исключительно из соображений секурности, а не функциональности sendmail.

~~sseREGa~~ ☆
(30.03.03 03:19:29 MSD)

Ответ на: комментарий от sseREGa 30.03.03 03:19:29 MSD

Если все время думать, что ты умнее всех, удивляться будешь постоянно ;-)

anonymous
(30.03.03 03:29:53 MSD)

Ссылка

Nehuevie vihodnie :) po utru dohrena servakov por00tyat

anonymous
(30.03.03 03:38:32 MSD)

Ответ на: комментарий от sseREGa 30.03.03 03:19:29 MSD

> Удивляюсь исключительно из соображений секурности, а не функциональности sendmail.

а ты поудивляйся функциональности. Хотя, конечно, sendmail надо вдавно переписать.

ivlad ★★★★★
(30.03.03 04:18:38 MSD)

Ссылка

Вот что бывает, когда софт пишут пидары...

~~Antichrist~~ ☆
(30.03.03 04:40:05 MSD)

>>сендмэйл - рулез! лучше только бинд !

пять баллов !!

хорошо что прошлую дыру закрывать не стал, а сразу qmail поставил.

borisych ★★★★★
(30.03.03 04:58:51 MSD)

Ответ на: комментарий от Antichrist 30.03.03 04:40:05 MSD

Латентные пидорасы -- самые ярые гомофобы.

anonymous
(30.03.03 05:09:56 MSD)

Ответ на: комментарий от borisych 30.03.03 04:58:51 MSD

А, вот и борисыч вылез. qmail -- его конек. Ну, возьми с полки пирожок.

anonymous
(30.03.03 05:11:59 MSD)

Ссылка

Ответ на: комментарий от anonymous 30.03.03 03:38:32 MSD

Ух ты бля, как слово r00t-то писать умеешь, хацкер поди. Не ссы, не порутят. Все, что хотели, уже порутили.

anonymous
(30.03.03 05:15:14 MSD)

Ссылка

Уже есть обновление для slackware-9.0:

ftp://ftp.slackware.at/slackware-9.0/patches/packages/sendmail-8.12.9-i386-1.tgz

Shrike ★
(30.03.03 05:44:19 MSD)

Ссылка

а постфикс - не спасает. у постфикса плановые ежедневные релизы.

anonymous
(30.03.03 08:44:48 MSD)

Ссылка

Ответ на: комментарий от Rolex 30.03.03 00:22:07 MSK

> Это что, мля, в воскресенье на работу 3.14здовать???

А удаленно уже не модно работать? Действительно, не хочешь работать - не работай.

Cailean ★
(30.03.03 10:23:14 MSD)

Ссылка

Ответ на: комментарий от anonymous 30.03.03 01:07:42 MSK

>еще один красноглазик. научись сначала имя листа писать. >запарили пионеры

сам научись

anonymous
(30.03.03 12:12:55 MSD)

> а постфикс - не спасает. у постфикса плановые ежедневные релизы.

ну да конечно. qmail спасает, да? апдейтов в ближайшем тысячелетии не планируется,
бо его автору он уже не интересен Ж))

anonymous
(30.03.03 12:15:29 MSD)

Ответ на: комментарий от anonymous 30.03.03 12:15:29 MSD

а нах они ему сдались? версия двухгодично давности как была, так и осталась невзломана. вот это юниксвей, это я понимайт :)

anonymous
(30.03.03 12:55:57 MSD)

Ссылка

Ответ на: комментарий от anonymous 30.03.03 12:12:55 MSD

> сам научись

ну-ка нука, заясни нам грешным как багтрак пишется по-английски? один раз уже лажнулся, еще видать хочешь :-)

anonymous
(30.03.03 13:43:52 MSD)

bugtraq пишется

anonymous
(30.03.03 14:21:51 MSD)

Ссылка

Ответ на: комментарий от anonymous 30.03.03 13:43:52 MSD

> ну-ка нука, заясни нам грешным как багтрак пишется по-английски?

Не, это слишком простой тест на профпригодность. Лучше так: кто был предыдущим модератором bugtraq? ;-)

anonymous
(30.03.03 14:44:53 MSD)

Ссылка

юникс вей - это постфикс! релиз утром апдейт вечером. результат не важен ... каждая версия условно совместима с предыдущей .... Если вдруг кто из поссыкс-гурей обьяснит: "какая именно программа из обширного набора релизов называется - postfix", так буду благодарен.

anonymous
(30.03.03 16:35:16 MSD)

Ссылка

Ответ на: комментарий от anonymous 30.03.03 05:09:56 MSD

> Латентные пидорасы -- самые ярые гомофобы.

Да Луговской не латентен, он пидер и есть..

anonymous
(30.03.03 16:58:01 MSD)

Ссылка

А я вот, не будь дурак еще в 1998-ом собрал один раз пакетик
qmail-1.03.tgz. С тех пор он тиражируется на десятках машин и
ни разу не менялся. Вот это я понимаю качество софтины.

З.Ы. А Луговский и qmail хаял пару лет назад; говорил, что
софтина неправильная, ибо не на ocaml'e писана ;) Обещал тогда
еще написать свой MTA на самом правильном в мире языке
программирования ;) Кажется зуб давал, что смогет. Надо бы стребовать.

anonymous
(30.03.03 17:28:54 MSD)

Ссылка

Интерсено а эксплоиты на эту тему уже есть?

Dead ★★★★
(30.03.03 19:05:09 MSD)

Ответ на: комментарий от Dead 30.03.03 19:05:09 MSD

Конечно.

trunk ★
(30.03.03 19:16:01 MSD)

Ссылка

Неспеша идем на www.stalker.com, берем там Communigate Pro.
Тестируем в течении недель трех, охреневаем от того что _все_ работает.
Бьем по почкам начальство, не выгодны ради, а для удовльствия.
Очумелое начальство дает денег на Communigate Pro.
Живем долго и счастливо.

anonymous
(30.03.03 19:25:56 MSD)

а чего тут удивляться, что сендмыл жив? Он exchange тоже глюк один - и тоже жив. Так почему бы не жить проге куда помощнее ?

anonymous
(30.03.03 19:59:03 MSD)

> а чего тут удивляться, что сендмыл жив? Он exchange тоже глюк один - и тоже жив. Так почему бы не жить проге куда помощнее ?

Да и винда тоже жива в целом пока-что ... Странно... ;))

~~sseREGa~~ ☆
(30.03.03 20:05:29 MSD)

Ссылка

Ответ на: комментарий от anonymous 30.03.03 19:59:03 MSD

>а чего тут удивляться, что сендмыл жив? Он exchange тоже глюк один - и тоже жив.

Идем на SecurityFocus, раздел vulnerabilities search by title

Выбираем sendmail - получаем 25 ссылок Выбираем exchange - 17

Так что не надо балоны катить на exchange. По сравнению с sendmail он младенец.

Sendmail - уникум. Самая дырявая программа в истории. Его нужно занести в "красную книгу" и охранять, что бы, не дай бог, не вымер.

anonymous
(30.03.03 20:59:36 MSD)

Ссылка

Ответ на: комментарий от anonymous 30.03.03 19:25:56 MSD

> Неспеша идем на www.stalker.com, берем там Communigate Pro.
> Тестируем в течении недель трех, охреневаем от того что _все_ работает.

Потом идём на http://mx.ru/Lists/CGatePro/List.html и убеждаемся, что работает не всё.
Потом натыкаемся на "странную" работу CGP с русскими именами папок.
Потом пытаемся сделать свои шаблоны для web и вот тут уж точно "всё" работает...

p.s. Хотя конечно лучше поделок типа сабжа.

anonymous
(30.03.03 21:29:23 MSD)

Ссылка

люди !!! не ругайтесь матом,
попробуйте exim, после него
я везде где мог выбросил и сендмы и кумыл !!!!

anonymous
(30.03.03 21:56:21 MSD)

Ссылка

Мужики, ну уж прям так долго обновить sendmail? Было бы из-за чего ругаться... Я понимаю, что когда серверов штук 50, то это уже чревато большими потерями времени, но когда их не больше 10-ти, то какие проблемы-то?

anonymous
(30.03.03 22:32:01 MSD)