форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Критическая уязвимость в конфигурациях Postfix, использующих..."	+/–
Сообщение от opennews (ok) on 10-Май-11, 13:07
В почтовом сервере Postfix обнаружена (http://www.postfix.org/CVE-2011-1720.html) одна из самых серьезных проблем безопасности за всю историю существования проекта. Уязвимость проявляется только при использовании Postfix совместно с SASL-библиотекой Cyrus и задействовании методов аутентификации, отличных от PLAIN, LOGIN и ANONYMOUS, например, проблема присутствует при использовании методов  CRAM-MD5, DIGEST-MD5, EXTERNAL, GSSAPI, KERBEROS_V4, NTLM, OTP, PASSDSS-3DES-1 и SRP. Уязвимость не затрагивает код SMTP-клиента и проявляется только  для сервера, в настройках которого активированы параметры "smtpd_sasl_auth_enable = yes" и "smtpd_sasl_type = cyrus". Разработчики не исключают возможность создания эксплоита, который позволит организовать выполнение кода злоумышленника на почтовом сервере с правами непривилегированного пользователя "postfix". Пользователь postfix ограничен в своих правах и не может влиять на работу рабочих процессов почтового сервера, но теоретически может быть... URL: http://permalink.gmane.org/gmane.mail.postfix.announce/127 Новость: http://www.opennet.dev/opennews/art.shtml?num=30495
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+4 +/–
Сообщение от Scrill (ok) on 10-Май-11, 13:07
Не так страшно как бывает в Exim :)
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	7. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+1 +/–
	Сообщение от Hello World on 10-Май-11, 14:28
	Зато эксим прикольней )
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

3. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+1 +/–
Сообщение от moralez on 10-Май-11, 13:25
имхо, критическая - это remote root. а тут...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	8. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+2 +/–
	Сообщение от Daemontux (ok) on 10-Май-11, 14:38
	Запускайте postfix под root и будет вам счастье
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	9. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+1 +/–
	Сообщение от Anonim (ok) on 10-Май-11, 16:05
	это же не exim
	Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

	12. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+2 +/–
	Сообщение от zazik (ok) on 10-Май-11, 20:20
	> это же не exim А что, кто-то Exim запускает под root? Ах, да, бедные линухоиды :(
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	16. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+/–
	Сообщение от Mike Lee on 11-Май-11, 01:15
	а что, где то можно 25 порт из под непривелегированного пользователя слушать?
	Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

	18. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+/–
	Сообщение от Papa on 11-Май-11, 06:13
	Запускаться нельзя, работать можно - см. апач как пример
	Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

	19. "Критическая уязвимость в конфигурациях Postfix,..."	+/–
	Сообщение от anonymous (??) on 11-Май-11, 06:19
	> а что, где то можно 25 порт из под непривелегированного пользователя слушать? а что, имперсонироваться в ограниченого пользователя после открытия нужных портов религия запрещает?
	Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

	27. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+/–
	Сообщение от Аноним (??) on 30-Май-11, 16:41
	> а что, где то можно 25 порт из под непривелегированного пользователя слушать? Можно. Способов море. В частности ивВ тех же линуксах на которые не понятно за что наехано.
	Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

4. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+/–
Сообщение от FSA (ok) on 10-Май-11, 13:27
Вот нравится мне когда обновляешь софт, что-то обновится. А только уже потом узнаёшь, что уязвимость какая-то закрыта. Только сегодня postfix обновился автоматом.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

5. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+/–
Сообщение от Аноним (??) on 10-Май-11, 13:50
Извините за офтоп, но недавно была обнаружена критическая уязвимость (0-day) в последней версии Google Chrome. http://news.google.ru/news/more?q=google+chrome&qscrl=1&um=1... Правда пока подтверждений маловато.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	6. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+1 +/–
	Сообщение от Аноним (??) on 10-Май-11, 14:06
	Хотя, на английском уже достаточно: http://news.google.ru/news/story?pz=1&cf=all&ned=ru_ru&hl=en...
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	17. "Критическая уязвимость в конфигурациях Postfix,..."	+/–
	Сообщение от anonymous (??) on 11-Май-11, 01:44
	> Извините за офтоп, но недавно была обнаружена критическая уязвимость (0-day) в последней > версии Google Chrome. и кого волнуют виндовые дырки?
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

10. "Критическая уязвимость в конфигурациях Postfix, использующих..."	–1 +/–
Сообщение от Аноним (??) on 10-Май-11, 16:08
ну вот, а то exim-exim...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

11. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+2 +/–
Сообщение от Sw00p aka Jerom on 10-Май-11, 18:39
smtpd_sasl_type = dovecot и спим спокойно
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	14. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+1 +/–
	Сообщение от Аноним (??) on 10-Май-11, 22:14
	настоящие пацаны используют TLS, а там, как правило, используют PLAIN auth.
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

	20. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+/–
	Сообщение от Sw00p aka Jerom on 11-Май-11, 09:00
	хех а чем CRAM-MD5 не устроил ?
	Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

	21. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+/–
	Сообщение от Аноним (??) on 11-Май-11, 12:35
	А зчем? C TLS это оверкилл. Отличные от PLAIN и LOGIN схемы нужны для незашифрованных соединений.
	Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

13. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+/–
Сообщение от Аноним (??) on 10-Май-11, 21:18
emerge =mail-mta/postfix-2.8.3 и спим спокойно )
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

15. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+/–
Сообщение от prapor (??) on 10-Май-11, 22:26
Debian обновился, нотифайка приехала.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

22. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+1 +/–
Сообщение от Slot on 11-Май-11, 13:35
Закидайте меня помидорами, но последний раз когда я попытался поставить связку Postfix+Cyrus+LDAP(как с патчем автокреат так и без него) у меня ни чего не вышло :( После трёхдневного секса с библиотеками BDB мне посоветовали ставить dovecot - отнесся с недоверием - решил посмотреть что это такое. На удивление оказалось вполне удобоваримой вещью(!) -   нет секса с патчем автокреат(ну не могу я придумать ситуацию когда после УСПЕШНОЙ авторизации или наличия юзера для него не надо принимать почту ибо врукопашную не создан ящик О_о),   нет секса при компиляции с либами БДБ,   нет необходимости ещё одного демона(saslauthd) для вменяемой связки с LDAP - Прилично аргументов или нет?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	23. "Критическая уязвимость в конфигурациях Postfix, использующих..."	–1 +/–
	Сообщение от pofig on 11-Май-11, 15:49
	Аргументов неприлично ... И все не в тему. Речь идёт вообще про Cyrus-SASL, а не Cyrus-IMAP.
	Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

	25. "Критическая уязвимость в конфигурациях Postfix, использующих..."	–1 +/–
	Сообщение от odus (ok) on 14-Май-11, 11:43
	Руки кривые Все работает
	Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

	26. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+1 +/–
	Сообщение от Slot on 30-Май-11, 16:22
	> Руки кривые > Все работает Как это у тебя с кривыми руками всё работает???! У меня вот прямые и не пашет? :(
	Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

24. "Критическая уязвимость в конфигурациях Postfix, использующих..."	+/–
Сообщение от Аноним (??) on 12-Май-11, 18:57
50-PIPELINING 250-SIZE 50000000 250-ETRN 250-AUTH CRAM-MD5 DIGEST-MD5 LOGIN PLAIN 250-AUTH=CRAM-MD5 DIGEST-MD5 LOGIN PLAIN 250 8BITMIME AUTH CRAM-MD5 334 PDc2ODc0MzM2NC4xMzM2NjYwOEB2aXJ1cy5zY2FuLnRlc3QuZWJlbGluZy5lZT4= * AUTH DIGE501 Authentication aborted AUTH DIGEST-MD5 501 Authentication failed: malformed initial response
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема