The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Уязвимость в OpenSMTPD, позволяющая удалённо выполнить код с..., opennews (?), 29-Янв-20, (0) [смотреть все] +1

Сообщения [Сортировка по времени | RSS]


33. "Уязвимость в OpenSMTPD, позволяющая удалённо выполнить код с..."  –1 +/
Сообщение от suffix (ok), 29-Янв-20, 14:15 
А как все на exim гнали когда полгода назад уязвимость у него выявили !

У всех такое бывает - а пользоваться надо чем удобнее !

Ответить | Правка | Наверх | Cообщить модератору

34. "Уязвимость в OpenSMTPD, позволяющая удалённо выполнить код с..."  +/
Сообщение от Дон Ягон (ok), 29-Янв-20, 14:25 
> А как все на exim гнали когда полгода назад уязвимость у него выявили !

Всё-таки есть разница между наличием ошибок в принципе и положенным на безопасность болтом.

Насчёт конкретно OpenSMTPD не могу предметно высказаться - когда мне приходилось настраивать почтовые серваки его ещё просто не было. Но тот же postfix - хороший вариант вместо exim, если его возможностей хватает. Remote root там, емнип, не находили.

Ответить | Правка | Наверх | Cообщить модератору

137. "Уязвимость в OpenSMTPD, позволяющая удалённо выполнить код с..."  +/
Сообщение от Аноним (-), 31-Янв-20, 07:17 
sh -c с параметрами сформированными из юзерских данных так и хочется назвать болтом забитым на безопасность, или курением на бочке с порохом. Сам не понимаю почему.
Ответить | Правка | Наверх | Cообщить модератору

149. "Уязвимость в OpenSMTPD, позволяющая удалённо выполнить код с..."  +/
Сообщение от Дон Ягон (ok), 31-Янв-20, 17:32 
> sh -c с параметрами сформированными из юзерских данных так и хочется назвать болтом забитым на безопасность, или курением на бочке с порохом.

Процитирую сам себя:

Qmail:
"When a mail message arrives, qmail-local runs sh -c command in your  home  directory."

( http://manpages.ubuntu.com/manpages/xenial/man8/qmail-comman... )

"args[0] = "/bin/sh"; args[1] = "-c"; args[2] = prog; args[3] = 0;"

( https://github.com/c-rack/qmail/blob/master/qmail-local.c#L263 )

Postfix:

https://github.com/vdukhovni/postfix/blob/master/postfix/src...
https://github.com/vdukhovni/postfix/blob/master/postfix/src...

И postfix, и qmail проектировались с акцентом на безопасность.

> Сам не понимаю почему.

Потому что твоё желание ложное. Проблема не непосредственно в том, что вызывается sh -c. Популярные безопасные почтовые серверы postfix и qmail делают то же самое, и подобных проблем в них не было найдено.
Вызывать из кода стороннюю программу с произвольными аргументами и не создать проблем с безопасностью в любом случае сложно, с sh или без.

Ответить | Правка | Наверх | Cообщить модератору

36. "Уязвимость в OpenSMTPD, позволяющая удалённо выполнить код с..."  +1 +/
Сообщение от Аноним (26), 29-Янв-20, 14:32 
Так вы посравнивайте, что и в каких количествах находили у exim в тот же период его существования. А если уж в нём и нынче находят эпические уязвимости, то...
Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

56. "Уязвимость в OpenSMTPD, позволяющая удалённо выполнить код с..."  +/
Сообщение от Аноним (55), 29-Янв-20, 17:07 
То что?
Ответить | Правка | Наверх | Cообщить модератору

119. "Уязвимость в OpenSMTPD, позволяющая удалённо выполнить код с..."  +/
Сообщение от Michael Shigorinemail (ok), 30-Янв-20, 12:59 
То сидите дальше на своей пороховой бочке, только не удивляйтесь, что менее склонные к самоподрыву люди обходят вас обеих на безопасном расстоянии.
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру