Linux Forum Казахстан

[size="3"]Релиз SMTP-сервера Exim 4.70[/size]

После двух лет разработки вышел SMTP-сервер exim 4.70. В новой версии исправлено более 50 ошибок и представлено несколько новшеств:

 * Добавлена встроенная поддержка протокола аутентификации подлинности e-mail сообщений DKIM, не требующая более использования внешней библиотеки;
 * Представлена экспериментальная поддержка техники блокирования спама при помощи распределенной системы фильтрации контента DCC (Distributed Checksum Clearinghouse), взаимодействие с которой в Exim организуется при помощи демона dccifd.
 * Библиотека PCRE исключена из базовой поставки Exim, так как большинство операционных систем уже содержат в своем составе данную библиотеку;
 * С появлением DKIM прекращена поддержка системы проверки валидности почтовых отправлений Yahoo! Domainkeys;
 * Обновлена документация.

http://www.opennet.r...shtml?num=24269 (http://www.opennet.ru/opennews/art.shtml?num=24269)

[size="3"]Релиз почтового сервера Exim 4.73 с устранением уязвимостей [/size]

Вышел (http://lists.exim.org/lurker/message/20110105.162854.aa646e3f.en.html) релиз SMTP-сервера Exim 4.73 (http://www.exim.org/), в котором устранены две критические уязвимости, обнаруженные (http://www.opennet.ru/opennews/art.shtml?num=28945) в начале декабря. Уязвимости позволяют выполнить код злоумышленника и повысить свои привилегии в системе.

Ошибка, приводившая к первой уязвимости (CVE-2010-4344 (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-4344)), была устранена в версии 4.70, но не была идентифицирована в то время как уязвимость, что привело к наличию проблемы безопасности в пакетах с Exim из состава дистрибутивов с увеличенным сроком поддержки, таких как Debian (http://www.debian.org/security/2010/dsa-2131), RHEL (https://rhn.redhat.com/errata/RHSA-2010-0970.html) и CentOS (https://www.centos.org/modules/newbb/viewtopic.php?topic_id=29266&forum=37). Проблема была связана с возможностью вызова переполнения буфера в функции string_vformat и позволяла злоумышленнику выполнить код на сервере, через указание двух команд MAIL в пределах одной SMTP-сессии в сочетании с передачей огромного сообщения со специальным образом оформленными заголовками.

Вторая уязвимость (CVE-2010-4345 (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-4345)), которая исправлена в текущем релизе, позволяла локальному злоумышленнику повысить свои привилегии в системе, через использования возможности по запуску пользователем exim процесса exim с альтернативным файлом конфигурации, в котором можно было указать произвольные команды в блоке spool_directory, которые могли быть выполнены с правами пользователя root. Например, запустив "exim -Ce.conf -q" в файле конфигурации e.conf можно указать выполнение произвольных операций "spool_directory = ${run{/bin/chown user:user /etc/shadow}}".

Кроме исправления уязвимостей, в новой версии представлено несколько мелких улучшений (http://git.infradead.org/exim-doc.git/blob_plain/HEAD:/doc-txt/ChangeLog):

• Задействован более новый Clam/AV API (zINSTREAM API) для организации фильтрации контента. Старый API можно включить путем сборки с опцией WITH_OLD_CLAMAV_STREAM=yes;
• Улучшена поддержка OpenSSL: добавлена опция конфигурирования openssl_options, расширены средства диагностики проблем с SSL,
• Дополнительные улучшения поддержки DKIM (DomainKeys Identified Mail). Не связанные с критическими проблемами ошибки DKIM более не направляются в paniclog;
• Реализован оператор reverse_ip;
• Добавлен отладочный режим в ACL ("debug");
• Поддержка множественных условных правил над блоками "Router";
• Блокирование запуска или сборки Exim от пользователя root;
• Добавлена опция tcp_wrappers_daemon_name, позволяющая использовать имена процессов, отличные от "exim";
• Удалены зависимости от определенной в стандарте C99 функции va_copy().

[size="3"]Релиз почтового сервера Exim 4.74 с устранением уязвимости [/size]

Спустя всего 20 дней с момента прошлого (http://linuxforum.kz/index.php?/topic/2883-exim/page__view__findpost__p__13783) выпуска доступен (http://www.exim.org/lurker/message/20110121.113731.1844cdcf.en.html) релиз SMTP-сервера Exim 4.74 (http://www.exim.org/), в котором представлено 10 исправлений, среди которых устранение уязвимости (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0017). Уязвимость позволяет локальному пользователю, имеющему полномочия работы под пользователем exim, добавить от имени пользователя root данные к любому системному файлу (например, к /etc/shadow). Из других изменений можно отметить поддержку подключения динамически загружаемых модулей с реализацией дополнительных проверок; чистку make-файлов от специфичных конструкций GNU make для обеспечения сборки с использованием BSD make; отключение проверки прав доступа к /dev/null (теперь можно использовать вместо файла конфигурации).

[size="3"]Релиз почтового сервера Exim 4.75[/size]

Вышел (http://lists.exim.org/lurker/message/20110322.091555.b0d5a72f.en.html#exim-announce) корректирующий релиз почтового сервера Exim 4.75 (http://www.exim.org/) в котором устранено 25 не связанных с безопасностью ошибок (ftp://ftp.exim.org/pub/exim/ChangeLogs/ChangeLog-4.75). В анонсе отмечается, что это первый релиз выпущенный в рамках новых правил (http://wiki.exim.org/EximReleasePolicyProposedDraft) подготовки релизов.

В частности, в правилах указано, что нет фиксированного графика выпуска релизов - корректирующие релизы выпускаются как минимум раз в полгода, а релизы с исправлением критических уязвимостей выпускаются в срочном порядке и содержат только одно исправление. Распространяемые архивы обязательно снабжаются цифровой PGP-подписью. Нумерация релизов имеет формат x.yy, при этом после "4.99" будет следовать "5.00", смена первой цифры также будет производиться при добавлении изменений, нарушающих обратную совместимость.

[size="3"]Критическая уязвимость в почтовом сервере Exim[/size]
 
В почтовом сервере Exim обнаружена (https://lists.exim.org/lurker/message/20110506.112357.e99a8db1.en.html) критическая уязвимость, позволяющая организовать удаленное выполнение кода на почтовом сервере, на котором включена поддержка DKIM-верификации (DomainKeys Identified Mail) входящих сообщений.

Для проведения атаки злоумышленник может отправить на сервер жертвы письмо, содержащее специально оформленную (https://lists.exim.org/lurker/message/20110503.100748.e61f76b1.en.html) DKIM-сигнатуру, указанную в заголовке "DKIM-Signature:". При наличии в поле "i", используемом для идентификации, блока данных, в котором присутствуют символы "%", в процессе проверки валидности отправителя почтовый сервер интерпретирует символы "%" как управляющие команды форматирования строки. Проблема присутствует в участке (http://bugs.exim.org/show_bug.cgi?id=1106) кода функции "dkim_exim_verify_finish()" (src/dkim.c), ответственном за вывод данных в лог. Ошибка может привести к повреждению содержимого памяти и потенциальной возможности выполнения кода злоумышленника с правами пользователя, под которым работает почтовый сервер exim.

Уязвимость обнаружена разработчиками Exim после жалобы одного из пользователей на крах в случае наличия символа процента внутри DKIM-сигнатуры. Проблема проявляется только в конфигурациях Exim, начиная с версии 4.70, с включенной поддержкой DKIM. Ошибка устранена в тестовой версии Exim 4.76-RC1 (ftp://ftp.exim.org/pub/exim/exim4/test/). Релиз Exim 4.76 планируется выпустить в понедельник.

Обновления с исправлением уязвимости в настоящий момент доступны только для дистрибутива Debian GNU/Linux (http://www.debian.org/security/2011/dsa-2232), в котором Exim используется в качестве почтового сервера по умолчанию. Статус выхода исправлений для остальных систем можно отследить на следующих страницах: Slackware (http://www.slackware.com/security/list.php?l=slackware-security&y=2011), Gentoo (http://www.gentoo.org/security/en/index.xml), Mandriva (http://www.mandriva.com/en/security/advisories?dis=2010.1), openSUSE (http://lists.opensuse.org/opensuse-security-announce/2011-05/), CentOS (http://lists.centos.org/pipermail/centos-announce/2011-May/thread.html), Fedora (https://admin.fedoraproject.org/updates/F15/security), RHEL (http://rhn.redhat.com/errata/rhel-server-errata.html), Ubuntu (https://lists.ubuntu.com/archives/ubuntu-security-announce/2011-May), FreeBSD (http://www.vuxml.org/freebsd/). Патч можно загрузить здесь (http://git.exim.org/exim.git/commitdiff_plain/337e3505b0e6cd4309db6bf6062b33fa56e06cf8).