Исходное сообщение
"Предупреждение о критической уязвимости в Exim" Отправлено пох., 25-Июл-19 10:24
> Все таки я удивляюсь на exim, хотя сам его админил. Ну активно > манипулирует он setuidgid, но что же это такое поле для уязвимостей? > Надо нафиг с него снимать suid бит. это юникс, детка. (не "новый стандарт", где есть стодесять костылей и подпорочек сделать suid но не suid - причем с ровно тем же результатом в случае полома)   чтобы манипулировать чужими файлами - нужен setid. Почта - это чужие файлы. Чтобы открывать служебные порты - нужен рут - собственно, он для того и нужен, чтобы подтвердить, что открывающему это можно делать. fine-grained permissions в нем не предусмотрено, да и не очень нужны. Устраивать world writable помойку, чтобы обойти это ключевое ограничение системы - это к автырю поцфикса. причем на сервере, где обрабатывается почта - обычно именно почтовый сервис и сама почта и есть то, что надо защищать. Больше ничего ценного такой сервер как правило и не содержит в принципе (или exim там был оверкилом). Поэтому никакого смысла в изоляции отдельно exim'а тоже нет. а софт в этой парадигме просто надо писать аккуратно. До exim'а, похоже, дорвалось новое поколение, которое ничерта не умеет. Хотя пока все эти "уязвимости" требуют вручную включить то, что включать совершенно незачем.