Poczta / DATA PUBLICZNEGO OGŁOSZENIA
Sendmail: błąd w obsłudze sygnałów
Luka w serwerze pocztowym pokazała, że bezpieczeństwo hostingu zależy również od usług działających obok strony WWW.
Co się wydarzyło?
W marcu 2006 roku CERT opisał wyścig w obsłudze sygnałów Sendmaila. Osoba łącząca się z usługą SMTP mogła wykorzystać szczególny moment przekroczenia czasu operacji wejścia i wyjścia. Atak nie wymagał konta pocztowego.
Skutki zależały od uprawnień procesu. Jeśli działał jako root, udane wykorzystanie błędu mogło oznaczać przejęcie całego systemu. Historyczną poprawkę zawierał Sendmail 8.13.6; dostępne były również łaty do wybranych starszych wydań.
Co to oznacza dla administratora?
Administrator powinien obejmować aktualizacjami również usługi SMTP. Aktualny CMS nie chroni przed podatnością programu, który obsługuje pocztę na tym samym serwerze.