forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

Обновление Exim 4.92.1 с устранением уязвимости, opennews (?), 26-Июл-19, (0) [смотреть все]

в EPEL апдейт появится через пару месяцев, как раз всякие ISPmanager с cPanel по, 354256522452 (?), 07:07 , 26-Июл-19, (1) –4 //

Равно как vsftpd тоже не осилили, а proftpd ой как дырявЖдем массовых взломов и , 354256522452 (?), 07:12 , 26-Июл-19, (2) –1 //

И то верно Ведь любой человек с улицы может править конфиги эксима , аннон (?), 07:29 , 26-Июл-19, (3) +3 //

может Правда, exim потом не работает - , Аноним (23), 11:58 , 26-Июл-19, (23) +1

Если это наезд на Debian Stable, то в него секурити-фиксы бэкпортят довольно опе, Аноним (41), 13:16 , 26-Июл-19, (41)

epel - community repo, есть время - пилят, нет или жрать хотят - на работу ходят, пох. (?), 07:36 , 26-Июл-19, (4) –6 //

не порите чушь, ей больно Нормально, немножко голову и руки приложить нужно r, Аноним (7), 08:36 , 26-Июл-19, (7) +3 //

после сборки паровоз обработать напильником о, то есть круче - не обработать, , пох. (?), 11:02 , 26-Июл-19, (14) –3

Да, случай тяжелый, хотя и неоднократно описанный в специальной литературе , Аноним (7), 12:00 , 26-Июл-19, (24) +3
Васян поделки лучше ровно потому, что они хотя бы не лезут в SMTP диалог и не ра, vstakhov (ok), 12:06 , 26-Июл-19, (26)

напоминаю, довольно типовая задача даже для нормальных систем, не sharedhost где, пох. (?), 12:39 , 26-Июл-19, (32) –2

Эм, как бы тривиально, а что Authenticated username передается через мильтр - э, vstakhov (ok), 12:44 , 26-Июл-19, (35) +1

с ужасом глянув пример - нет, вот это - серьезно подается как проще и безопасне, пох. (?), 13:00 , 26-Июл-19, (37) –3

Я вам лично ничего подавать не собираюсь, как и вести дискуссию на таком уровн, vstakhov (ok), 13:13 , 26-Июл-19, (40) +1

по существу такие простые вещи должны делаться - просто В идеале - работать из, пох. (?), 14:51 , 26-Июл-19, (45)

Спасибо за конструктивную критику Тут есть несколько проблем Первая из них в том, vstakhov (ok), 15:16 , 26-Июл-19, (46)

Не завидуйте его зарплате, месье , А (??), 20:53 , 28-Июл-19, (50)

Это как Научите, а то у меня из поцфикса OR получился ровно дважды, и каждый р, Michael Shigorin (ok), 09:11 , 26-Июл-19, (9) –1 //

сам теперь выковыривай из автомодерилки, пох. (?), 11:02 , 26-Июл-19, (15)

Панелеписакам давно пора освоить rpmbuild , Аноним (5), 07:47 , 26-Июл-19, (5) //

А есть gui builder для каках rpm-спек , Аноним (6), 07:57 , 26-Июл-19, (6) //

Зачем , Аноним (8), 08:38 , 26-Июл-19, (8)

как зачем - чтоб next-next-ok, и ни в коем случае не разобраться, случайно, как , пох. (?), 11:24 , 26-Июл-19, (19) +2

gvim , Michael Shigorin (ok), 09:12 , 26-Июл-19, (10)

ну вон ispmanager - освоили Но собирать за васянов еще и всю операционную систе, пох. (?), 10:55 , 26-Июл-19, (13) //

Как они освоили, так через одно место, вечно по зависимостям половина системы ул, Vasssyan (?), 11:05 , 26-Июл-19, (16)

УМВРпанели не нужны, ага Посоветуйте юзерам валить на гуглосайты - там все то ж, пох. (?), 11:09 , 26-Июл-19, (18)

Не осилившие командную строку должны страдать и ругать неосиляторов-панелеписак, Аноним (47), 15:50 , 26-Июл-19, (47) //

ты готов открыть ssh для world и предоставить командную строку людям, которые , пох. (?), 00:09 , 27-Июл-19, (49) –1

Cpanel обновил сегодня Вышел апдейт, Alex (??), 22:23 , 30-Июл-19, (51)

Коллеги, ветка https github com Exim exim tree exim-4 92 fixes является refere, Аноним (11), 10:38 , 26-Июл-19, (11) +1 //

спасибо, это прекраснокакую ветку Как незамутненному опакечивателю выбрать из e, пох. (?), 11:06 , 26-Июл-19, (17) –1
Ostree rpm и softwarecollections scls , Аноним (36), 12:55 , 26-Июл-19, (36)

Обновления для FreeBSD подготовлены еще вчера , vstakhov (ok), 11:45 , 26-Июл-19, (21) +1
интересно, сколько постфикс-очеров хоть краем глаза заглядывало в дырявый код ми, Аноним (22), 11:45 , 26-Июл-19, (22) +1 //

мильтеры устарели - вон у них новый фуфел, shutty-policy-d с новым нескучным инт, Аноним (23), 12:04 , 26-Июл-19, (25) –1 //

У меня в портах нашлось существенно больше Но это правильно, бубунтоиды ДОЛЖНЫ , Аноним (7), 12:27 , 26-Июл-19, (30) //

мне кажется, в данном случае они уже достаточно страдают, не надо им существенн, пох. (?), 15:52 , 26-Июл-19, (48) –1

Примерно столько же, сколько пользователей exim прилежно изучали и главное - чт, Аноним (7), 12:07 , 26-Июл-19, (27) //

конкретно я правлю код екзима под свои нужны, но, конечно, во все ветки не вника, Аноним (22), 12:19 , 26-Июл-19, (28) //

пруф или 3 14деж, Аноним (7), 12:24 , 26-Июл-19, (29)

тебе дифы выслать чтоли или что думай что хочешь , Аноним (22), 12:32 , 26-Июл-19, (31)

он может - просто позаимствовать чо полезное хотел Признавайся, чо правил-то , пох. (?), 12:41 , 26-Июл-19, (34) –1
Понятно, а еще ты хакнул Крей , Аноним (7), 13:03 , 26-Июл-19, (38) +1

а как же - тысячигласс Вот в данном случае- даже кто-то что-то заметил почти вов, пох. (?), 12:41 , 26-Июл-19, (33) –3 //

Примерно с той же вероятностью А как же, тысячигласс же , Аноним (7), 13:07 , 26-Июл-19, (39) +1

С разморозкой https www freshports org mail exim , анонн (ok), 13:42 , 26-Июл-19, (42) +1 //

Справедливости ради, там был дурацкий баг с subversion, и я не смог сразу же доб, vstakhov (ok), 13:48 , 26-Июл-19, (43)

По поводу нестандартных лимитов для postfix У нас используются amavisd amavisd, Alex_K (??), 14:06 , 26-Июл-19, (44)

Сообщения [Сортировка по времени | RSS]

1. "Обновление Exim 4.92.1 с устранением уязвимости" –4 +/–

Сообщение от 354256522452 (?), 26-Июл-19, 07:07

в EPEL апдейт появится через пару месяцев, как раз всякие ISPmanager с cPanel поломают (ведь панелеписатели не осилили postfix), а панели эти заточены под центось

Ответить | Правка | Наверх | Cообщить модератору

2. "Обновление Exim 4.92.1 с устранением уязвимости" –1 +/–

Сообщение от 354256522452 (?), 26-Июл-19, 07:12

Равно как vsftpd тоже не осилили, а proftpd ой как дыряв
Ждем массовых взломов и вайпа серверов ведь уязвимости не патчат годами в мегастабильных ОСях

Ответить | Правка | Наверх | Cообщить модератору

3. "Обновление Exim 4.92.1 с устранением уязвимости" +3 +/–

Сообщение от аннон (?), 26-Июл-19, 07:29

> Ждем массовых взломов
> > при наличии в конфигурации определённых специфичных настроек
И то верно. Ведь любой человек с улицы может править конфиги эксима.

Ответить | Правка | Наверх | Cообщить модератору

23. "Обновление Exim 4.92.1 с устранением уязвимости" +1 +/–

Сообщение от Аноним (23), 26-Июл-19, 11:58

может. Правда, exim потом не работает ;-)

Ответить | Правка | Наверх | Cообщить модератору

41. "Обновление Exim 4.92.1 с устранением уязвимости" +/–

Сообщение от Аноним (41), 26-Июл-19, 13:16

> ведь уязвимости не патчат годами в мегастабильных ОСях
Если это наезд на Debian Stable, то в него секурити-фиксы бэкпортят довольно оперативно. Exim зафиксили вчера например:
https://www.debian.org/security/2019/dsa-4488

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

4. "Обновление Exim 4.92.1 с устранением уязвимости" –6 +/–

Сообщение от пох. (?), 26-Июл-19, 07:36

epel - community repo, есть время - пилят, нет или жрать хотят - на работу ходят.
Жрите, де6илы! Ой...в смысле, ждите ебилдов! Вы ж линух поставили "патамуштанетакойкаквсе" и "бешплатна!" а не потому что хоть банально пересборку из исходников так и того что вам нужно осилили. Жаль что дыры что в том, что в другом, требуют нетривиальных настроек, поэтому всерьез ждать, что число гуанохостингов резко поубавится, не приходится.
И это не панелеписатели неосилили, а это ваш поцфикс "неасилил", потому что если весь из себя неуязвимый софт "умеет только читать stdin и писать stdout", как один тут гордо крякал, то это означает - правильно, что он не умеет практически ничего полезного. Вот опенрелей из коробки (особенно актуально для массхостинга) - умеет, ага. А нужны, например - per-user лимиты на число отправленных сообщений. Как с этим у твоего поцфикса?
Панелеписатели, конечно, могли бы не пользоваться community repo, сопровождаемым незнамокем, а собрать все пятнадцать используемых панелями пакетов самостоятельно, но они такие же как вы, и умеют только нескучные интерфейсики клепать.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

7. "Обновление Exim 4.92.1 с устранением уязвимости" +3 +/–

Сообщение от Аноним (7), 26-Июл-19, 08:36

> Вот опенрелей из коробки (особенно актуально для массхостинга) - умеет, ага.
не порите чушь, ей больно...
> А нужны, например - per-user лимиты на число отправленных сообщений. Как с этим у твоего поцфикса?
Нормально, немножко голову и руки приложить нужно. rtfm postfix-policyd

Ответить | Правка | Наверх | Cообщить модератору

14. "Обновление Exim 4.92.1 с устранением уязвимости" –3 +/–

Сообщение от пох. (?), 26-Июл-19, 11:02

> Нормально, немножко голову и руки приложить нужно.
"после сборки паровоз обработать напильником".
> rtfm postfix-policyd
о, то есть круче - не обработать, а самому выпилить из цельного куска чугуния?
Ну либо искать какие-то левые васян-поделки, вот они-то точно-точно безопастные, тысячи ж глаз!
Чорт, я думал, линуксомакаки фанаты безопастного мэйлера эту проблему давно порешали. А оказывается, даже и не пытались - видимо, все они по совместительству админы локалхостов. Расположенных, разумеется, в 192.168.0, поэтому проблема mynetworks им тоже не грозит.

Ответить | Правка | Наверх | Cообщить модератору

24. "Обновление Exim 4.92.1 с устранением уязвимости" +3 +/–

Сообщение от Аноним (7), 26-Июл-19, 12:00

Да, случай тяжелый, хотя и неоднократно описанный в специальной литературе.

Ответить | Правка | Наверх | Cообщить модератору

26. "Обновление Exim 4.92.1 с устранением уязвимости" +/–

Сообщение от vstakhov (ok), 26-Июл-19, 12:06

Васян поделки лучше ровно потому, что они хотя бы не лезут в SMTP диалог и не работают от рута, держа весь shared state в глобальных переменных, да и не делают гениального expand'а получаемых извне данных, в отличие от сабжа. Ну и есть такая васян поделка - Rspamd, которую я некоторым образом пишу, и которая вполне себе решает проблему недостатка крутилок у постфикса.

Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

32. "Обновление Exim 4.92.1 с устранением уязвимости" –2 +/–

Сообщение от пох. (?), 26-Июл-19, 12:39

> Ну и есть такая васян поделка - Rspamd, которую я некоторым образом пишу, и которая вполне
> себе решает проблему недостатка крутилок у постфикса.
напоминаю, довольно типовая задача даже для нормальных систем, не sharedhost где ниша экзима даже.
Ограничить количество отправляемых в какой-то интервал (хрен с ним, в минуту) сообщений per userid. Как rspamd поможет ее решить?
А per ip, ладно, у нас же докер в докере под докером? А per ip но с учетом destination (роботы могут и сто тыщ писем другому роботу генерить, их трогать нельзя. Надо давить лопнувших роботов, грозящих осчастливить весь окружающий мир.)
Потом рассмотрим эффективность milter-based решений.
Безопастность лучше не будем.

Ответить | Правка | Наверх | Cообщить модератору

35. "Обновление Exim 4.92.1 с устранением уязвимости" +1 +/–

Сообщение от vstakhov (ok), 26-Июл-19, 12:44

>> Ну и есть такая васян поделка - Rspamd, которую я некоторым образом пишу, и которая вполне
>> себе решает проблему недостатка крутилок у постфикса.
> напоминаю, довольно типовая задача даже для нормальных систем, не sharedhost где ниша
> экзима даже.
> Ограничить количество отправляемых в какой-то интервал (хрен с ним, в минуту) сообщений
> per userid. Как rspamd поможет ее решить?
Эм, как бы тривиально, а что? Authenticated username передается через мильтр - это раз, а два - вполне можно сделать лимиты по доменам, по отправителям, да хоть по небу и Аллаху: https://rspamd.com/doc/modules/ratelimit.html

Ответить | Правка | Наверх | Cообщить модератору

37. "Обновление Exim 4.92.1 с устранением уязвимости" –3 +/–

Сообщение от пох. (?), 26-Июл-19, 13:00

с ужасом глянув пример - нет, вот это - серьезно подается как "проще и безопаснее чем exim"?

Ответить | Правка | Наверх | Cообщить модератору

40. "Обновление Exim 4.92.1 с устранением уязвимости" +1 +/–

Сообщение от vstakhov (ok), 26-Июл-19, 13:13

> с ужасом глянув пример - нет, вот это - серьезно подается как
> "проще и безопаснее чем exim"?
Я вам лично ничего "подавать" не собираюсь, как и вести дискуссию на таком уровне аргументации. Свои претензии к архитектуре Exim я уже озвучил выше. Если есть замечания по существу, а не в стиле "с ужасом глянув пример", то готов их выслушать. Впрочем, надежд я особых не испытываю, учитывая другие ваши посты тут.

Ответить | Правка | Наверх | Cообщить модератору

45. "Обновление Exim 4.92.1 с устранением уязвимости" +/–

Сообщение от пох. (?), 26-Июл-19, 14:51

по существу: такие простые вещи должны делаться - просто. В идеале - работать из коробки.
А не требовать выкопать где-то в вике почти-подходящий кусок кода со страницу размером, требующий детальных объяснений автора, чтобы понять как он вообще работает.
При том что это одна мелкая деталька в почтовой системе. Остальные будут закопаны в других местах - к великом счастью пришедшего после вас админа, получившего задание "поменять поведение вот в этом случае". С exim - он просто открывает Configure - и находит искомое (тоже в неудобочитаемом виде, но хотя бы - все сразу в одном месте). С альтернативами - угадай в каком костыле запилена эта подпорка.
Ваша претензия к архитектуре exim - это претензия к архитектуре unix. exim в ней совершенно не виноват. (он, кстати, умеет скинуть рутовые права, но местами это ведет к неприятным глюкам, поэтому по умолчанию такое поведение и отключено)
архитектуру libmilter обсуждать будем?

Ответить | Правка | Наверх | Cообщить модератору

46. "Обновление Exim 4.92.1 с устранением уязвимости" +/–

Сообщение от vstakhov (ok), 26-Июл-19, 15:16

> по существу: такие простые вещи должны делаться - просто.
Спасибо за конструктивную критику.
> В идеале -
> работать из коробки.
> А не требовать выкопать где-то в вике почти-подходящий кусок кода со страницу
> размером, требующий детальных объяснений автора, чтобы понять как он вообще работает.
Тут есть несколько проблем.
Первая из них в том, что функциональность модулей развивалась эволюционно: вначале сделали какие-то базовые вещи, потом пользователь A сказал, что ему надо одно, пользователю B другое, через N лет придумали какой-то новый фреймворк обработки данных, и решили его впилить. В итоге получается каша, но зато сохраняется обратная совместимость.
А ручек "вкл-выкл" или, там, "аз-5" не получается добавить просто, так как оно либо сломает совместимость, либо будет еще одной из многих крутилок.
Кое-где я пытаюсь сделать "привычные ручки" - вот в том же dkim_sign, как хотели того пользователи OpenDKIM. Многие вещи делаются "из коробки" по умолчанию, а некоторые делаются из утилиты configwizard - это как раз трансляция простых крутилок в более-менее сложные конфиги.
Для ratelimit такого не просили, зато просили сложных настраиваемых лимитов (в том же Mailcow). Если будет спрос на такие ручки, их можно будет добавить.
А так сложность - следствие желания покрыть все кейсы...
Вторая проблема - это проблема моего когнитивного искажения как автора, когда я пишу документацию и примеры. Я просто не могу себе представить, что у пользователей нет тех знаний, что есть у меня, и они не могут быстро "грепнуть" код, чтобы получить ответ на вопрос. Частично эта проблема решается коммьюнити, но для этого нужны опытные пользователи, которые могут обучать других, а с этим обычно беда - новичков хватает, а профессионалов очень мало.
> При том что это одна мелкая деталька в почтовой системе. Остальные будут
> закопаны в других местах - к великом счастью пришедшего после вас
> админа, получившего задание "поменять поведение вот в этом случае". С exim
> - он просто открывает Configure - и находит искомое (тоже в
> неудобочитаемом виде, но хотя бы - все сразу в одном месте).
> С альтернативами - угадай в каком костыле запилена эта подпорка.
С моей (неизбежно ангажированной) точки зрения, MTA отвечает за SMTP диалог, очередь и верификацию получателей. Фильтрация и модификация контента - это задача некоего отдельного сервиса. В моем представлении этот сервис - Rspamd. И основной плюс такой архитектуры, что этот сервис можно вынести в отдельную песочницу, минимизировав риски найденных уязвимостей. Поэтому ваш подход применим и к моему представлению о системе обработки почты.
> Ваша претензия к архитектуре exim - это претензия к архитектуре unix. exim
> в ней совершенно не виноват. (он, кстати, умеет скинуть рутовые права,
> но местами это ведет к неприятным глюкам, поэтому по умолчанию такое
> поведение и отключено)
Ну нет. Моя претензия к монолитной архитектуре Exim'а, унаследованной от Sendmail, и смешению доставки почты, фильтрации и ведению SMTP диалога. Это все просто невозможно сделать, чтобы дырка в коде не имела катастрофических последствий. Ну и опять же я много работал с кодом Exim'а - он оставляет желать лучшего, мягко говоря. А expand, утекающий для внешних данных, - это просто сплошная дыра, что последние найденные уязвимости подтверждают.
> архитектуру libmilter обсуждать будем?
Она, бесспорно, ужасна. Именно поэтому я НЕ использую libmilter в Rspamd. А сам протокол не такой плохой - он просто повторяет архитектурные проблемы smtp с abort и управлением стейтом.

Ответить | Правка | Наверх | Cообщить модератору

50. "Обновление Exim 4.92.1 с устранением уязвимости" +/–

Сообщение от А (??), 28-Июл-19, 20:53

> левые васян-поделки
Не завидуйте его зарплате, месье. ;)

Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

9. "Обновление Exim 4.92.1 с устранением уязвимости" –1 +/–

Сообщение от Michael Shigorin (ok), 26-Июл-19, 09:11

> Вот опенрелей из коробки (особенно актуально для массхостинга) - умеет, ага.
Это как? Научите, а то у меня из поцфикса OR получился ровно дважды, и каждый раз потребовались нетривиальные усилия плюс "на вчера" (туннели, дырочки в файрволе "для партнёров", такое вот). Чтоб из коробки -- вообще не видел.

Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

15. "Обновление Exim 4.92.1 с устранением уязвимости" +/–

Сообщение от пох. (?), 26-Июл-19, 11:02

> Это как? Научите, а то у меня из поцфикса OR получился
сам теперь выковыривай из автомодерилки

Ответить | Правка | Наверх | Cообщить модератору

5. "Обновление Exim 4.92.1 с устранением уязвимости" +/–

Сообщение от Аноним (5), 26-Июл-19, 07:47

Панелеписакам давно пора освоить rpmbuild)

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

6. "Обновление Exim 4.92.1 с устранением уязвимости" +/–

Сообщение от Аноним (6), 26-Июл-19, 07:57

А есть gui builder для каках rpm-спек?

Ответить | Правка | Наверх | Cообщить модератору

8. "Обновление Exim 4.92.1 с устранением уязвимости" +/–

Сообщение от Аноним (8), 26-Июл-19, 08:38

Зачем?

Ответить | Правка | Наверх | Cообщить модератору

19. "Обновление Exim 4.92.1 с устранением уязвимости" +2 +/–

Сообщение от пох. (?), 26-Июл-19, 11:24

как зачем - чтоб next-next-ok, и ни в коем случае не разобраться, случайно, как это работает.

Ответить | Правка | Наверх | Cообщить модератору

10. "Обновление Exim 4.92.1 с устранением уязвимости" +/–

Сообщение от Michael Shigorin (ok), 26-Июл-19, 09:12

gvim!

Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

13. "Обновление Exim 4.92.1 с устранением уязвимости" +/–

Сообщение от пох. (?), 26-Июл-19, 10:55

ну вон ispmanager - освоили. Но собирать за васянов еще и всю операционную систему, потому что редгад, видишь ли, вон даже nginx сумел в базовую поставку добавить только через пятнадцать лет - видимо, не входит в их планы.
А сами панелеадмины умеют только некст-ок, как и их пользователи (вру, конечно - пользователи этого не умеют).
Ждите ебилдов!

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

16. "Обновление Exim 4.92.1 с устранением уязвимости" +/–

Сообщение от Vasssyan (?), 26-Июл-19, 11:05

Как они освоили, так через одно место, вечно по зависимостям половина системы улетает
В панели exim и proftpd не нужны

Ответить | Правка | Наверх | Cообщить модератору

18. "Обновление Exim 4.92.1 с устранением уязвимости" +/–

Сообщение от пох. (?), 26-Июл-19, 11:09

> Как они освоили, так через одно место, вечно по зависимостям половина системы
> улетает
УМВР
> В панели exim и proftpd не нужны
панели не нужны, ага. Посоветуйте юзерам валить на гуглосайты - там все то же самое, только бесплатно и без выпендрежа.

Ответить | Правка | Наверх | Cообщить модератору

47. "Обновление Exim 4.92.1 с устранением уязвимости" +/–

Сообщение от Аноним (47), 26-Июл-19, 15:50

> всякие ISPmanager с cPanel поломают (ведь панелеписатели не осилили postfix),
Не осилившие командную строку должны страдать (и ругать неосиляторов-панелеписак, что им остаётся).

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

49. "Обновление Exim 4.92.1 с устранением уязвимости" –1 +/–

Сообщение от пох. (?), 27-Июл-19, 00:09

ты готов открыть ssh для world и предоставить "командную строку" людям, которые ее осилят или нет - неважно, но знаешь о них ты - примерно номер кредитки? Вполне возможно - краденой.
и даже - то же самое, но для лично знакомых горе-админов. с грехом пополам что-то там "осиливших" копипастой stackexchange'а, которые на следующий день проимеют все пароли и доступы?
Да, массхостеры, с группой админов на зарплате и их круглосуточным дежурством и мониторингом - так делают. Но они exim в своей cpanel'и настраивают сами, и сами же его пересоберут, если им зачем-то понадобился sort для внешних данных. Они-то умеют.

Ответить | Правка | Наверх | Cообщить модератору

51. "Обновление Exim 4.92.1 с устранением уязвимости" +/–

Сообщение от Alex (??), 30-Июл-19, 22:23

Cpanel обновил сегодня. Вышел апдейт

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Обновление Exim 4.92.1 с устранением уязвимости"	–4 +/–
Сообщение от 354256522452 (?), 26-Июл-19, 07:07
в EPEL апдейт появится через пару месяцев, как раз всякие ISPmanager с cPanel поломают (ведь панелеписатели не осилили postfix), а панели эти заточены под центось
Ответить \| Правка \| Наверх \| Cообщить модератору


	2. "Обновление Exim 4.92.1 с устранением уязвимости"	–1 +/–
	Сообщение от 354256522452 (?), 26-Июл-19, 07:12
	Равно как vsftpd тоже не осилили, а proftpd ой как дыряв Ждем массовых взломов и вайпа серверов ведь уязвимости не патчат годами в мегастабильных ОСях
	Ответить \| Правка \| Наверх \| Cообщить модератору


	3. "Обновление Exim 4.92.1 с устранением уязвимости"	+3 +/–
	Сообщение от аннон (?), 26-Июл-19, 07:29
	> Ждем массовых взломов > > при наличии в конфигурации определённых специфичных настроек И то верно. Ведь любой человек с улицы может править конфиги эксима.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	23. "Обновление Exim 4.92.1 с устранением уязвимости"	+1 +/–
	Сообщение от Аноним (23), 26-Июл-19, 11:58
	может. Правда, exim потом не работает ;-)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	41. "Обновление Exim 4.92.1 с устранением уязвимости"	+/–
	Сообщение от Аноним (41), 26-Июл-19, 13:16
	> ведь уязвимости не патчат годами в мегастабильных ОСях Если это наезд на Debian Stable, то в него секурити-фиксы бэкпортят довольно оперативно. Exim зафиксили вчера например: https://www.debian.org/security/2019/dsa-4488
	Ответить \| Правка \| К родителю #2 \| Наверх \| Cообщить модератору


	4. "Обновление Exim 4.92.1 с устранением уязвимости"	–6 +/–
	Сообщение от пох. (?), 26-Июл-19, 07:36
	epel - community repo, есть время - пилят, нет или жрать хотят - на работу ходят. Жрите, де6илы! Ой...в смысле, ждите ебилдов! Вы ж линух поставили "патамуштанетакойкаквсе" и "бешплатна!" а не потому что хоть банально пересборку из исходников так и того что вам нужно осилили. Жаль что дыры что в том, что в другом, требуют нетривиальных настроек, поэтому всерьез ждать, что число гуанохостингов резко поубавится, не приходится. И это не панелеписатели неосилили, а это ваш поцфикс "неасилил", потому что если весь из себя неуязвимый софт "умеет только читать stdin и писать stdout", как один тут гордо крякал, то это означает - правильно, что он не умеет практически ничего полезного. Вот опенрелей из коробки (особенно актуально для массхостинга) - умеет, ага. А нужны, например - per-user лимиты на число отправленных сообщений. Как с этим у твоего поцфикса? Панелеписатели, конечно, могли бы не пользоваться community repo, сопровождаемым незнамокем, а собрать все пятнадцать используемых панелями пакетов самостоятельно, но они такие же как вы, и умеют только нескучные интерфейсики клепать.
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	7. "Обновление Exim 4.92.1 с устранением уязвимости"	+3 +/–
	Сообщение от Аноним (7), 26-Июл-19, 08:36
	> Вот опенрелей из коробки (особенно актуально для массхостинга) - умеет, ага. не порите чушь, ей больно... > А нужны, например - per-user лимиты на число отправленных сообщений. Как с этим у твоего поцфикса? Нормально, немножко голову и руки приложить нужно. rtfm postfix-policyd
	Ответить \| Правка \| Наверх \| Cообщить модератору


	14. "Обновление Exim 4.92.1 с устранением уязвимости"	–3 +/–
	Сообщение от пох. (?), 26-Июл-19, 11:02
	> Нормально, немножко голову и руки приложить нужно. "после сборки паровоз обработать напильником". > rtfm postfix-policyd о, то есть круче - не обработать, а самому выпилить из цельного куска чугуния? Ну либо искать какие-то левые васян-поделки, вот они-то точно-точно безопастные, тысячи ж глаз! Чорт, я думал, линуксомакаки фанаты безопастного мэйлера эту проблему давно порешали. А оказывается, даже и не пытались - видимо, все они по совместительству админы локалхостов. Расположенных, разумеется, в 192.168.0, поэтому проблема mynetworks им тоже не грозит.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	24. "Обновление Exim 4.92.1 с устранением уязвимости"	+3 +/–
	Сообщение от Аноним (7), 26-Июл-19, 12:00
	Да, случай тяжелый, хотя и неоднократно описанный в специальной литературе.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	26. "Обновление Exim 4.92.1 с устранением уязвимости"	+/–
	Сообщение от vstakhov (ok), 26-Июл-19, 12:06
	Васян поделки лучше ровно потому, что они хотя бы не лезут в SMTP диалог и не работают от рута, держа весь shared state в глобальных переменных, да и не делают гениального expand'а получаемых извне данных, в отличие от сабжа. Ну и есть такая васян поделка - Rspamd, которую я некоторым образом пишу, и которая вполне себе решает проблему недостатка крутилок у постфикса.
	Ответить \| Правка \| К родителю #14 \| Наверх \| Cообщить модератору


	32. "Обновление Exim 4.92.1 с устранением уязвимости"	–2 +/–
	Сообщение от пох. (?), 26-Июл-19, 12:39
	> Ну и есть такая васян поделка - Rspamd, которую я некоторым образом пишу, и которая вполне > себе решает проблему недостатка крутилок у постфикса. напоминаю, довольно типовая задача даже для нормальных систем, не sharedhost где ниша экзима даже. Ограничить количество отправляемых в какой-то интервал (хрен с ним, в минуту) сообщений per userid. Как rspamd поможет ее решить? А per ip, ладно, у нас же докер в докере под докером? А per ip но с учетом destination (роботы могут и сто тыщ писем другому роботу генерить, их трогать нельзя. Надо давить лопнувших роботов, грозящих осчастливить весь окружающий мир.) Потом рассмотрим эффективность milter-based решений. Безопастность лучше не будем.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	35. "Обновление Exim 4.92.1 с устранением уязвимости"	+1 +/–
	Сообщение от vstakhov (ok), 26-Июл-19, 12:44
	>> Ну и есть такая васян поделка - Rspamd, которую я некоторым образом пишу, и которая вполне >> себе решает проблему недостатка крутилок у постфикса. > напоминаю, довольно типовая задача даже для нормальных систем, не sharedhost где ниша > экзима даже. > Ограничить количество отправляемых в какой-то интервал (хрен с ним, в минуту) сообщений > per userid. Как rspamd поможет ее решить? Эм, как бы тривиально, а что? Authenticated username передается через мильтр - это раз, а два - вполне можно сделать лимиты по доменам, по отправителям, да хоть по небу и Аллаху: https://rspamd.com/doc/modules/ratelimit.html
	Ответить \| Правка \| Наверх \| Cообщить модератору


	37. "Обновление Exim 4.92.1 с устранением уязвимости"	–3 +/–
	Сообщение от пох. (?), 26-Июл-19, 13:00
	с ужасом глянув пример - нет, вот это - серьезно подается как "проще и безопаснее чем exim"?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	40. "Обновление Exim 4.92.1 с устранением уязвимости"	+1 +/–
	Сообщение от vstakhov (ok), 26-Июл-19, 13:13
	> с ужасом глянув пример - нет, вот это - серьезно подается как > "проще и безопаснее чем exim"? Я вам лично ничего "подавать" не собираюсь, как и вести дискуссию на таком уровне аргументации. Свои претензии к архитектуре Exim я уже озвучил выше. Если есть замечания по существу, а не в стиле "с ужасом глянув пример", то готов их выслушать. Впрочем, надежд я особых не испытываю, учитывая другие ваши посты тут.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	45. "Обновление Exim 4.92.1 с устранением уязвимости"	+/–
	Сообщение от пох. (?), 26-Июл-19, 14:51
	по существу: такие простые вещи должны делаться - просто. В идеале - работать из коробки. А не требовать выкопать где-то в вике почти-подходящий кусок кода со страницу размером, требующий детальных объяснений автора, чтобы понять как он вообще работает. При том что это одна мелкая деталька в почтовой системе. Остальные будут закопаны в других местах - к великом счастью пришедшего после вас админа, получившего задание "поменять поведение вот в этом случае". С exim - он просто открывает Configure - и находит искомое (тоже в неудобочитаемом виде, но хотя бы - все сразу в одном месте). С альтернативами - угадай в каком костыле запилена эта подпорка. Ваша претензия к архитектуре exim - это претензия к архитектуре unix. exim в ней совершенно не виноват. (он, кстати, умеет скинуть рутовые права, но местами это ведет к неприятным глюкам, поэтому по умолчанию такое поведение и отключено) архитектуру libmilter обсуждать будем?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	46. "Обновление Exim 4.92.1 с устранением уязвимости"	+/–
	Сообщение от vstakhov (ok), 26-Июл-19, 15:16
	> по существу: такие простые вещи должны делаться - просто. Спасибо за конструктивную критику. > В идеале - > работать из коробки. > А не требовать выкопать где-то в вике почти-подходящий кусок кода со страницу > размером, требующий детальных объяснений автора, чтобы понять как он вообще работает. Тут есть несколько проблем. Первая из них в том, что функциональность модулей развивалась эволюционно: вначале сделали какие-то базовые вещи, потом пользователь A сказал, что ему надо одно, пользователю B другое, через N лет придумали какой-то новый фреймворк обработки данных, и решили его впилить. В итоге получается каша, но зато сохраняется обратная совместимость. А ручек "вкл-выкл" или, там, "аз-5" не получается добавить просто, так как оно либо сломает совместимость, либо будет еще одной из многих крутилок. Кое-где я пытаюсь сделать "привычные ручки" - вот в том же dkim_sign, как хотели того пользователи OpenDKIM. Многие вещи делаются "из коробки" по умолчанию, а некоторые делаются из утилиты configwizard - это как раз трансляция простых крутилок в более-менее сложные конфиги. Для ratelimit такого не просили, зато просили сложных настраиваемых лимитов (в том же Mailcow). Если будет спрос на такие ручки, их можно будет добавить. А так сложность - следствие желания покрыть все кейсы... Вторая проблема - это проблема моего когнитивного искажения как автора, когда я пишу документацию и примеры. Я просто не могу себе представить, что у пользователей нет тех знаний, что есть у меня, и они не могут быстро "грепнуть" код, чтобы получить ответ на вопрос. Частично эта проблема решается коммьюнити, но для этого нужны опытные пользователи, которые могут обучать других, а с этим обычно беда - новичков хватает, а профессионалов очень мало. > При том что это одна мелкая деталька в почтовой системе. Остальные будут > закопаны в других местах - к великом счастью пришедшего после вас > админа, получившего задание "поменять поведение вот в этом случае". С exim > - он просто открывает Configure - и находит искомое (тоже в > неудобочитаемом виде, но хотя бы - все сразу в одном месте). > С альтернативами - угадай в каком костыле запилена эта подпорка. С моей (неизбежно ангажированной) точки зрения, MTA отвечает за SMTP диалог, очередь и верификацию получателей. Фильтрация и модификация контента - это задача некоего отдельного сервиса. В моем представлении этот сервис - Rspamd. И основной плюс такой архитектуры, что этот сервис можно вынести в отдельную песочницу, минимизировав риски найденных уязвимостей. Поэтому ваш подход применим и к моему представлению о системе обработки почты. > Ваша претензия к архитектуре exim - это претензия к архитектуре unix. exim > в ней совершенно не виноват. (он, кстати, умеет скинуть рутовые права, > но местами это ведет к неприятным глюкам, поэтому по умолчанию такое > поведение и отключено) Ну нет. Моя претензия к монолитной архитектуре Exim'а, унаследованной от Sendmail, и смешению доставки почты, фильтрации и ведению SMTP диалога. Это все просто невозможно сделать, чтобы дырка в коде не имела катастрофических последствий. Ну и опять же я много работал с кодом Exim'а - он оставляет желать лучшего, мягко говоря. А expand, утекающий для внешних данных, - это просто сплошная дыра, что последние найденные уязвимости подтверждают. > архитектуру libmilter обсуждать будем? Она, бесспорно, ужасна. Именно поэтому я НЕ использую libmilter в Rspamd. А сам протокол не такой плохой - он просто повторяет архитектурные проблемы smtp с abort и управлением стейтом.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	50. "Обновление Exim 4.92.1 с устранением уязвимости"	+/–
	Сообщение от А (??), 28-Июл-19, 20:53
	> левые васян-поделки Не завидуйте его зарплате, месье. ;)
	Ответить \| Правка \| К родителю #14 \| Наверх \| Cообщить модератору


	9. "Обновление Exim 4.92.1 с устранением уязвимости"	–1 +/–
	Сообщение от Michael Shigorin (ok), 26-Июл-19, 09:11
	> Вот опенрелей из коробки (особенно актуально для массхостинга) - умеет, ага. Это как? Научите, а то у меня из поцфикса OR получился ровно дважды, и каждый раз потребовались нетривиальные усилия плюс "на вчера" (туннели, дырочки в файрволе "для партнёров", такое вот). Чтоб из коробки -- вообще не видел.
	Ответить \| Правка \| К родителю #4 \| Наверх \| Cообщить модератору


	15. "Обновление Exim 4.92.1 с устранением уязвимости"	+/–
	Сообщение от пох. (?), 26-Июл-19, 11:02
	> Это как? Научите, а то у меня из поцфикса OR получился сам теперь выковыривай из автомодерилки
	Ответить \| Правка \| Наверх \| Cообщить модератору


	5. "Обновление Exim 4.92.1 с устранением уязвимости"	+/–
	Сообщение от Аноним (5), 26-Июл-19, 07:47
	Панелеписакам давно пора освоить rpmbuild)
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	6. "Обновление Exim 4.92.1 с устранением уязвимости"	+/–
	Сообщение от Аноним (6), 26-Июл-19, 07:57
	А есть gui builder для каках rpm-спек?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	8. "Обновление Exim 4.92.1 с устранением уязвимости"	+/–
	Сообщение от Аноним (8), 26-Июл-19, 08:38
	Зачем?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	19. "Обновление Exim 4.92.1 с устранением уязвимости"	+2 +/–
	Сообщение от пох. (?), 26-Июл-19, 11:24
	как зачем - чтоб next-next-ok, и ни в коем случае не разобраться, случайно, как это работает.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	10. "Обновление Exim 4.92.1 с устранением уязвимости"	+/–
	Сообщение от Michael Shigorin (ok), 26-Июл-19, 09:12
	gvim!
	Ответить \| Правка \| К родителю #6 \| Наверх \| Cообщить модератору


	13. "Обновление Exim 4.92.1 с устранением уязвимости"	+/–
	Сообщение от пох. (?), 26-Июл-19, 10:55
	ну вон ispmanager - освоили. Но собирать за васянов еще и всю операционную систему, потому что редгад, видишь ли, вон даже nginx сумел в базовую поставку добавить только через пятнадцать лет - видимо, не входит в их планы. А сами панелеадмины умеют только некст-ок, как и их пользователи (вру, конечно - пользователи этого не умеют). Ждите ебилдов!
	Ответить \| Правка \| К родителю #5 \| Наверх \| Cообщить модератору


	16. "Обновление Exim 4.92.1 с устранением уязвимости"	+/–
	Сообщение от Vasssyan (?), 26-Июл-19, 11:05
	Как они освоили, так через одно место, вечно по зависимостям половина системы улетает В панели exim и proftpd не нужны
	Ответить \| Правка \| Наверх \| Cообщить модератору


	18. "Обновление Exim 4.92.1 с устранением уязвимости"	+/–
	Сообщение от пох. (?), 26-Июл-19, 11:09
	> Как они освоили, так через одно место, вечно по зависимостям половина системы > улетает УМВР > В панели exim и proftpd не нужны панели не нужны, ага. Посоветуйте юзерам валить на гуглосайты - там все то же самое, только бесплатно и без выпендрежа.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	47. "Обновление Exim 4.92.1 с устранением уязвимости"	+/–
	Сообщение от Аноним (47), 26-Июл-19, 15:50
	> всякие ISPmanager с cPanel поломают (ведь панелеписатели не осилили postfix), Не осилившие командную строку должны страдать (и ругать неосиляторов-панелеписак, что им остаётся).
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	49. "Обновление Exim 4.92.1 с устранением уязвимости"	–1 +/–
	Сообщение от пох. (?), 27-Июл-19, 00:09
	ты готов открыть ssh для world и предоставить "командную строку" людям, которые ее осилят или нет - неважно, но знаешь о них ты - примерно номер кредитки? Вполне возможно - краденой. и даже - то же самое, но для лично знакомых горе-админов. с грехом пополам что-то там "осиливших" копипастой stackexchange'а, которые на следующий день проимеют все пароли и доступы? Да, массхостеры, с группой админов на зарплате и их круглосуточным дежурством и мониторингом - так делают. Но они exim в своей cpanel'и настраивают сами, и сами же его пересоберут, если им зачем-то понадобился sort для внешних данных. Они-то умеют.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	51. "Обновление Exim 4.92.1 с устранением уязвимости"	+/–
	Сообщение от Alex (??), 30-Июл-19, 22:23
	Cpanel обновил сегодня. Вышел апдейт
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору