The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги | ]

08.03.2011 21:22  Обновление Postfix с исправлением уязвимости в реализации команды STARTTLS

Доступны для загрузки корректирующие релизы почтового сервера Postfix 2.7.3, 2.6.9, 2.5.12 и 2.4.16 в которых устранена уязвимость в реализации команды STARTTLS, дающая возможность подстановки SMTP-команды в SMTP-сессию, работающую по защищенному TLS-каналу. Причиной проблемы является особенность буферизации входных данных, переданных сразу после SMTP-команды "STARTTLS". Иными словами переданная без шифрования SMTP-команда воспринимается в рамках шифрованной сессии.

Уязвимость может быть использована при осуществлении атаки "человек посередине", при которой злоумышленник пропускает через себя запросы между клиентом и сервером. При проверке серверных сертификатов на стороне клиента злоумышленник при осуществлении подобной атаки не имеет возможности вклиниться в TLS-трафик, но используя рассматриваемую уязвимость, он может отправить свою команду в незашифрованном виде, сразу после команды "STARTTLS" (т.е. в рамках одной пересылки), при этом эта незашифрованная команда будет воспринята в контексте шифрованного TLS-соединения. Например, заменив "STARTTLS\r\n" на "STARTTLS\r\nRSET\r\n" злоумышленник отменит шифрование сессии и сможет получить доступ к почте или перехватить пароль пользователя.

Стабильная ветка Postfix 2.8 и экспериментальная ветка Postfix 2.9 проблеме не подвержены. Кроме Postfix уязвимость присутствует и в других продуктах с реализацией команды STARTTLS, список которых находится на стадии формирования. Более того, проблема не является специфичной для протокола SMTP и в равной мере проявляется для других протоколов, использующих подобную схему перехода на шифрованный канал связи, например, для POP3, IMAP, NNTP и FTP.

  1. Главная ссылка к новости (http://permalink.gmane.org/gma...)
  2. OpenNews: Релиз почтового сервера Postfix 2.8.0
Лицензия: CC-BY
Тип: Проблемы безопасности
Ключевые слова: postfix, smtp, tls, crypt
При перепечатке указание ссылки на opennet.ru обязательно
 Добавить комментарий
Имя:
E-Mail:
Заголовок:
Текст:


  Закладки на сайте
  Проследить за страницей
Created 1996-2018 by Maxim Chirkov  
ДобавитьПоддержатьВебмастеруГИД  
Hosting by Ihor