Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Критическая локальная уязвимость в Exim, opennews (ok), 13-Мрт-16, (0) [смотреть все] Урок для дебиан, чтоб не пихал насильно этого монстра в минимально устанавливаем, EuPhobos (ok), 10:12 , 13-Мрт-16, (1) // По умолчанию разве не эта версия ставится https packages debian org ru jessie , Аноним (-), 10:18 , 13-Мрт-16, (2) +6 // 1 usr sbin exim -bV -v 124 grep -ci Perl0 dpkg -S usr sbin eximexim4-dae, Andrey Mitrofanov (?), 11:38 , 13-Мрт-16, (11) +4 Зачем тебе ssh если у тебя сети нет А без локального MTA не работает cron, Аноним (-), 10:21 , 13-Мрт-16, (3) +6 // Без сети netinstall дебианский бессмысленный, а зачем крону мта кричать о вывод, EuPhobos (ok), 10:35 , 13-Мрт-16, (4) –6 Вот тебе , батенька, и юникс-вэй , Аноним (-), 10:49 , 13-Мрт-16, (5) +1 // cron рекомендует exim4 124 postfix 124 mail-transport-agentНе обязательно , Аноним (-), 14:42 , 13-Мрт-16, (29) openSMTP тоже сойдет , Аноним (-), 18:37 , 13-Мрт-16, (55) +1 Не совсем двумя CODE aptitude search mail-transport-agentv mail-transport-a, Andrey Mitrofanov (?), 18:46 , 13-Мрт-16, (58) +2 Работает Ему просто нужно об этом сказать , anonymous (??), 11:07 , 13-Мрт-16, (7) +7 Так и не пихают, я только вчера debootstrap ом проверял с flavor minimal, нет та, Аноним (-), 21:51 , 13-Мрт-16, (65) Вопрос знатокам какие привилегированные действия выполняет exim, что ему требуе, Аноним (-), 10:54 , 13-Мрт-16, (6) +1 // Может на привилегированный до 1000 порт вешается , Аноним (-), 11:23 , 13-Мрт-16, (9) // Правильно, незачем пользоваться современными инструментами типа CAPABILITIES, лу, Аноним (-), 21:53 , 13-Мрт-16, (67) Пишет в локальные почтовые ящики всех пользователей в системе, например , Аноним (-), 11:24 , 13-Мрт-16, (10) +2 И тут, внезапно, вступает хор счастливых полmзователей postfix с арией об раздел, Andrey Mitrofanov (?), 11:44 , 13-Мрт-16, (13) +5 // Так пишешь, как будто это плохо , EHLO (?), 12:45 , 13-Мрт-16, (15) +1 // Это плохо , Andrey Mitrofanov (?), 13:15 , 13-Мрт-16, (18) +1 Ыыы, запахло холиваром не доводилось копаться в кишках exim 1 из 3 mta втор, fail (?), 13:40 , 13-Мрт-16, (20) –1 // Модули есть, а разделения привилегий не довложили, SUIDов накостылили А модул, Andrey Mitrofanov (?), 13:46 , 13-Мрт-16, (21) –1 понятно, нет золотой середины,я для для базового и быстрого архитектурного впр, fail (?), 14:44 , 13-Мрт-16, (30) примено да, большой монолит в виде одного бинарника со всеми функиями , all_glory_to_the_hypnotoad (ok), 13:59 , 13-Мрт-16, (23) Такие же, какие выполняет nginx и др подобные программы , SubGun (??), 15:29 , 13-Мрт-16, (34) // да кто ж nginx из-под рута запускать будет для каждого демона нынче отдельного , Аноним (-), 16:31 , 13-Мрт-16, (37) –2 // Ну, строго говоря, _запускают_ его именно под рутом из-за 80-го порта Правда, п, Алексей Морозов (ok), 06:01 , 14-Мрт-16, (73) Внезапно root 826 0 0 0 0 90876 3004 Ss Mar10 0 00 nginx , ЫгиПгт (?), 18:25 , 15-Мрт-16, (89) +1 Да бросьте, Поручик Тут этого никто не оценит С - , . (?), 03:50 , 16-Мрт-16, (94) –1 Это не Поручик, это целый Капитан , Алексей Морозов (ok), 20:37 , 16-Мрт-16, (97) Exinm оставляет stored uid 0, он не всё дропает, в ps не все видно , Павел Самсонов (?), 09:52 , 17-Мрт-16, (98) Не специалист тут бы хорошо solardiz или ldv позвать , но вообще-то suid root , Michael Shigorin (ok), 17:54 , 13-Мрт-16, (48) // Лет мии даггаггоу зет фоур юу фром май харт https duckduckgo com q why exim , Andrey Mitrofanov (?), 18:33 , 13-Мрт-16, (52) +1 // Благодарю Про условный mailq специально ведь упомянул , Michael Shigorin (ok), 19:21 , 13-Мрт-16, (63) +1 Там второй пункт не про mailq, а про встроенный LDA лок юзер vasya пишет лок , Andrey Mitrofanov (?), 12:12 , 16-Мрт-16, (96) –1 После этих слов следовало бы остановиться Далее идут высказывания, явно путающи, dep346 (ok), 18:33 , 13-Мрт-16, (53) // и задуматься -- а не понимает ли отрекомендовавшийся так тему лучше иных спе, Michael Shigorin (ok), 19:20 , 13-Мрт-16, (62) –2 Убогость архитектуры Надо сделать несколько привилегированных операций наприме, Алексей Морозов (ok), 06:07 , 14-Мрт-16, (74) Ну, от человека, который использует postfix ничего другого ожидать и не приходит, ЫгиПгт (?), 18:20 , 15-Мрт-16, (88) –1 Зная Лёшу лично, а этого кота впервые видя -- поухмыляюсь над такими оценками , Michael Shigorin (ok), 19:45 , 15-Мрт-16, (92) –1 По умолчанию в Дебиане ставится exim-daemon-light, а собран с Перлом, и таким об, Аноним (8), 11:16 , 13-Мрт-16, (8) +4   // Знаете, как подох sendmail Он подох, когда бо 769 льшая часть логики обработки, Алексей Морозов (ok), 06:12 , 14-Мрт-16, (75) –2   // Вас послушать, так он мёртвым родился и мёртвым почту передавал лет тридцать , Аноним 80_уровня (ok), 11:14 , 15-Мрт-16, (83)   Странно, ни одного нормального MTA, кроме Exim не видел Ну как бы они есть, как, ЫгиПгт (?), 18:30 , 15-Мрт-16, (90) –1   // Забавно, а по каким критериям сравнивали , Michael Shigorin (ok), 19:44 , 15-Мрт-16, (91)   Дебиан Стабильность Энтерпрайз , grsec (ok), 11:39 , 13-Мрт-16, (12) –5 Бывает , LeNiN (ok), 12:55 , 13-Мрт-16, (16) А если бы кретины из debian выбирали нормальные пакеты для дефолтной установки, , all_glory_to_the_hypnotoad (ok), 13:56 , 13-Мрт-16, (22) +1 // чёрт с ним, с exim ом вы посмотрите какую наркоманию они развели для его настро, Аноним (-), 14:23 , 13-Мрт-16, (24) +3 // А Вы, извините, эксперт В наркомании Да, расскажите нам подробнее , Andrey Mitrofanov (?), 14:39 , 13-Мрт-16, (28) К счастью, наркомания элементарно отключается - достаточно создать свой etc e, Аноним (8), 14:45 , 13-Мрт-16, (31) +6 // Причем - одним файлом, а не винегрет из полсотни инклудов по три строчки каждый , DeadLoco (ok), 17:18 , 13-Мрт-16, (40) +1 А Bind то тут при чем , Енотполоскун (ok), 07:34 , 14-Мрт-16, (76) При чем тут всякое дерьмо, типа postfix Вопросы к тупому сборщику пакетов, кото, SubGun (??), 15:27 , 13-Мрт-16, (33) –2 // Всякое дерьмо это exim Предьявы не к сборщику пакетов, а к архитекторам экзима , all_glory_to_the_hypnotoad (ok), 17:19 , 13-Мрт-16, (41) // Спасибо - от лица всех пользователей D С восхищением следим за Вашим бесприме, Andrey Mitrofanov (?), 17:34 , 13-Мрт-16, (45) И снова вопрос какой дистр является кошерным с твоей точки зрения Вываливай, г, scorry (ok), 11:19 , 14-Мрт-16, (78) Gentoo, конечно , Аноним (-), 18:30 , 14-Мрт-16, (80) LFS не катит, не , scorry (ok), 12:57 , 15-Мрт-16, (85) не катит, all_glory_to_the_hypnotoad (ok), 20:52 , 15-Мрт-16, (93) - и чем же он лучше Тем что у него очередная уязвимость пришлась не на весеннее, Вареник (?), 18:42 , 13-Мрт-16, (57) –1 // Для неизвращённого пользователя -- вообще-то всем Проблемы хабов со сложной ма, Michael Shigorin (ok), 19:13 , 13-Мрт-16, (60) Exim не готов для подакшена, пусть дальше в песочнице играют , Аноним (-), 16:57 , 13-Мрт-16, (38) –1 // что более лучше готово , Аноним (-), 18:06 , 13-Мрт-16, (49) В песочнице хоронить Фу , gogo (?), 21:17 , 14-Мрт-16, (82) –1 Шо, опять ц , Michael Shigorin (ok), 17:44 , 13-Мрт-16, (46) Самый надежный, да ---------Exim 8217 s security record has been fairly clea, Вареник (?), 18:39 , 13-Мрт-16, (56) –2 // Типовое викивраньё, за которое надо бить линейкой по доступу серийный remote ro, Michael Shigorin (ok), 19:15 , 13-Мрт-16, (61) // О чем ты родной, какой серийный, когда , Namename (?), 09:17 , 14-Мрт-16, (77) // Хоть http www opennet ru cgi-bin opennet ks cgi mask exim почитайте, раз всё п, Michael Shigorin (ok), 11:36 , 14-Мрт-16, (79) Просто надо иметь ввиду, что уже несколько из них специфичны только для debian и, ALex_hha (ok), 20:03 , 13-Мрт-16, (64) –1 Да что ж такое, никаких радостей Третий год все дыры мимо Все одмины как люд, pavlinux (ok), 21:52 , 13-Мрт-16, (66) // У меня для тебя плохие новости - эксим настолько древний, что в нём даже уязвим, Аноним (-), 00:53 , 14-Мрт-16, (70) // У меня для тебя новость - exim это SMTP сервер , pavlinux (ok), 01:03 , 14-Мрт-16, (71) –1 // Не проспался после выходных Бывает , Аноним (-), 02:27 , 14-Мрт-16, (72) а как же sendmail гулять - так гулять , gogo (?), 21:15 , 14-Мрт-16, (81) Я когда работал с exim в продакшене, запускал его через sudo -u mail со снятыми , Павел Самсонов (?), 12:13 , 15-Мрт-16, (84) 1,6,8,12,16,22,38,46,56,64,66

Сообщения

[Сортировка по времени | RSS]

8. "Критическая локальная уязвимость в Exim"	+4 +/–
Сообщение от Аноним (8), 13-Мрт-16, 11:16
По умолчанию в Дебиане ставится exim-daemon-light, а собран с Перлом, и таким образом пока уязвим - только exim-daemon-heavy, которого надо переставлять вручную, если требуются продвинутые возможности. Так что подавляющее большинство установок не пострадает, а у остальных должны быть достаточно квалифицированные админы. И вообще посторонних пользователей в серверах с heavy не должно быть. К тому же, я не уверен, в чью сторону тут правильно кидать камни - в разработчиков Эксима или Перла. Рут ему требуется для переключения на других пользователей. В конфиге можно прописать, под каким пользователем выполняется каждый этап обработки в разных случаях, и это могут быть разные пользователи. Для этого демон в нужные моменты делает себе exec(), а затем переключается на нужного для следующей операции пользователя. Только потом начиная работать с данными поступившими извне. С Перлом они упустили одну ситуацию, где этот принцип нарушается. Ну и плюс при первоначальном старте нужно открыть "низкие" порты на прослушку, для этого тоже нужен рут. Если вы настоите себе конфиг так, чтобы вся обработка везде шла строго под одним и тем же пользователем, то suid можно убрать. Запускаем всё равно под root, он открывает порты, переключается на пользователя, и дальше работает так. Как-то давно делал себе такую конфигурацию, работало, правда было много ручной возни, не приносящей пользы, так что отказался.
Ответить | Правка | Наверх | Cообщить модератору

	75. "Критическая локальная уязвимость в Exim"	–2 +/–
	Сообщение от Алексей Морозов (ok), 14-Мрт-16, 06:12
	> в разработчиков Эксима или Перла. Знаете, как подох sendmail? Он подох, когда бо́льшая часть логики обработки почты оказалась в конфигурации. И страдал, кстати, от тех же родовых проблем. "Ой, йоп, опять не доглядели!.." > Рут ему требуется для переключения на других пользователей. В конфиге можно прописать, > под каким пользователем выполняется каждый этап обработки в разных случаях, и > это могут быть разные пользователи. Спасибо за обстоятельную лекцию. А теперь посмотрите, как это сделано в нормальных МТА, авторы которых сразу подумали за безопасность в процесс обработки почты. Хинт: ни одного suid root там нет, а задачи, которым требуется переключение привилегий, сразу запускаются процессом-дирижером с требуемыми привилегиями. > Если вы настоите себе конфиг так, чтобы вся обработка везде шла строго > под одним и тем же пользователем, то suid можно убрать. Запускаем > всё равно под root, он открывает порты, переключается на пользователя, и > дальше работает так. Как-то давно делал себе такую конфигурацию, работало, правда > было много ручной возни, не приносящей пользы, так что отказался. В добрый путь, как говорится ;)
	Ответить | Правка | Наверх | Cообщить модератору

	83. "Критическая локальная уязвимость в Exim"	+/–
	Сообщение от Аноним 80_уровня (ok), 15-Мрт-16, 11:14
	> Он подох, когда бо́льшая часть логики обработки почты оказалась в конфигурации. Вас послушать, так он мёртвым родился и мёртвым почту передавал лет тридцать.
	Ответить | Правка | Наверх | Cообщить модератору

	90. "Критическая локальная уязвимость в Exim"	–1 +/–
	Сообщение от ЫгиПгт (?), 15-Мрт-16, 18:30
	> А теперь посмотрите, как это сделано в нормальных > МТА, авторы которых сразу подумали за безопасность в процесс обработки почты. Странно, ни одного нормального MTA, кроме Exim не видел. Ну как бы они есть, какие-то, даже что-то чуть-чуть умеют, но нормальными их назвать язык не поворачивается. Но для локалхоста да, сойдут.
	Ответить | Правка | К родителю #75 | Наверх | Cообщить модератору

	91. "Критическая локальная уязвимость в Exim"	+/–
	Сообщение от Michael Shigorin (ok), 15-Мрт-16, 19:44
	> Но для локалхоста да, сойдут. Забавно, а по каким критериям сравнивали?
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема