Sendmail 원격 취약점있음. 최신 8.12.9까지

좋은진호의 이미지

BugTraq에 17일(우리 시간으로는 언제인지..) 발표됐습니다.
룰셋 파싱과 주소 파싱 부분.
원격에서 exploit 가능할 거라고 합니다. 참 애매한 표현입니다.
로컬은 가능하구요.

Remote attack is believed to be possible.

방금 sendmail 홈피도 업데이트됐습니다. 글 쓰고 나니 업데이트 됨
http://www.sendmail.org/8.12.10.html
ftp://ftp.sendmail.org/pub/sendmail

자세한 것은 securityfocus.com에서
http://securityfocus.com/archive/1/337839/2003-09-14/2003-09-20/0

------------------------------------------------------
To: BugTraq
Subject: Sendmail 8.12.9 prescan bug (a new one) [CAN-2003-0694]
Date: Sep 17 2003 9:19AM
Author: Michal Zalewski <lcamtuf dione ids pl>
Message-ID: <Pine.LNX.4.44.0309162201480.11655-100000@dione.ids.pl>

Hello lists,

--------
Overview
--------

There seems to be a remotely exploitable vulnerability in Sendmail up to
and including the latest version, 8.12.9. The problem lies in prescan()
function, but is not related to previous issues with this code.

The primary attack vector is an indirect invocation via parseaddr(),
although other routes are possible. Heap or stack structures, depending
on the calling location, can be overwritten due to the ability to go
past end of the input buffer in strtok()-alike routines.

This is an early release, thanks to my sheer stupidity.

... 생략 ...

jedi의 이미지

빨간모자는 17일자로 업데이트가 올라와 있군요.

데비안은 확인 못했고 나머지는 모르겠습니다.

+++ 여기부터는 서명입니다. +++
국가 기구의 존속을 위한 최소한의 세금만을 내고, 전체 인민들이 균등한 삶을
영위할 수 있는 착취가 없는 혁명의 그날은 언제나 올 것인가!
-- 조정래, <태백산맥> 중에서, 1986년

ironiris의 이미지

sendmail 의 소스가 허접하게 코딩되었는지 qmail 이 안전하게 코딩되었는지..
sendmail 은 관심있어서 공격대상이 되는건지 qmail 은 상대적으로 적게 쓰여서 공격대상이 안되는건지는 모르지만
sendmail 의 취약점이 발표될때면 qmail 은 이런 취약점이 없는 걸까.. 라는 생각도 하게 되더군요.
어차피 같은 일을 하는건데.. 누구는 어떤 부분에서 심각한 에러가 발생되는데.. 누구는 괜찮은지....
쩝....
qmail 은 취약점을 발견하면 얼마의 돈을 줘서 이미 다 해결된 문제인가??

cdpark의 이미지

	Fix a potential buffer overflow in ruleset parsing.  This problem
		is not exploitable in the default sendmail configuration;
		only if non-standard rulesets recipient (2), final (4), or
		mailer-specific envelope recipients rulesets are used then
		a problem may occur.  Problem noted by Timo Sirainen.

다행히 기본 ruleset의 위험은 아니라는군요. 그래도 업그레이드해야겠지만요.

preisner의 이미지

크크크...
2,3,달에 한번씩 있는 sendmail 버그 땜에
qmail로 바꾸길 잘했네요.ㅋㅋㅋ
설치, 설정법이 조금 달라서 햇갈리기도 하지만,
이번 기회에들 qmail로 바꾸세요.

그나저나, 그 많은 sendmail 기반의 그룹웨어들은 업데이트는 하나 몰라..

jj의 이미지

안녕하세요

과서버가 Solaris/sendmail 기반으로 운용되고 있습니다.

동아리 서버 같으면 당장 qmail 이나 다른걸로 가버리겠는데요, 아무래도 좀 무섭네요.

qmail로 마이그레이션을 하고 싶군요. 질문이 몇가지..

1. /var/spool 에 있는 mail 파일들은 당연히 호환되겠죠?
2. alias가 잔인하게 많습니다. 호환가능합니까?

PS. sendmail.cf 파일은 인간이 알아보기도 힘든데, 기계도 읽다가 버그가 나나보군요... ㅡㅡ; 너무 복잡한게 문제인듯...

--
Life is short. damn short...

jedi의 이미지

분위기가 qmail은 버그가 없고 sendmail은 버그가 많다로 정해지는 것 같은데 꼭 그런 것은 아니라고 봅니다.

오히려 sendmail의 사용자나 인지도가 높기 때문에 버그 발표가 요란해서 그럿다고 생각되는 것뿐이라는 생각이 듭니다.

제가 하고 싶은 말은 "qmail로 바꾸었으니 이제 안전하겠지...." 라고 생각하는 순간 함정에 빠진 것이라는 겁니다.

버그가 없는 프로그램이 존재할 수 있다면 그렇지 않겠지만.......

+++ 여기부터는 서명입니다. +++
국가 기구의 존속을 위한 최소한의 세금만을 내고, 전체 인민들이 균등한 삶을
영위할 수 있는 착취가 없는 혁명의 그날은 언제나 올 것인가!
-- 조정래, <태백산맥> 중에서, 1986년

cdpark의 이미지

네. 사용자가 많은 sendmail이라 열심히 들여다보고 열심히 공격해대는 것이겠죠.

spool과 alias의 보존이 목적이라면 exim은 어떨까요? 설정도 sendmail보다 어렵지 않습니다. 좋은 바이러스 필터도 하나 준비되어 있고요. 원한다면 spamassassin과 직접 연동해서 SPAM 박멸도 가능하죠.

최근에 OpenSSH의 보안 버그도 발표되었습니다. 꾸준한 패치만이 최선입니다. Open Source 쪽은 그나마 쉽게 패치 가능하다는게 장점이죠.

Windows 쪽은 RPC 쪽에서 며칠 전에 또다른 보안 구멍이... 그들이 고쳐주기 전까지는 대책이 없죠.

preisner의 이미지

Quote:

분위기가 qmail은 버그가 없고 sendmail은 버그가 많다로 정해지는 것 같은데 꼭 그런 것은 아니라고 봅니다.

오히려 sendmail의 사용자나 인지도가 높기 때문에 버그 발표가 요란해서 그럿다고 생각되는 것뿐이라는 생각이 듭니다.


그렇지 않습니다.
qmail은 1998년에 1.03이 나와(확실하지는 않습니다만..) 지금까지
패치라는게 나온적 없는 프로그램입니다.
(기능의 확장은 철저하게 모듈로 만들어 졌습니다.)
물론 사람이 만든 프로그램인데 버그가 없겠습니까만,
(아직 1.03이 발표된 이후로 적어도 보안 관련 버그는 없습니다.)
sendmail이 버그가 훨씬, 그리고 아주 지독히 많은 것은 확실 합니다.

Quote:

제가 하고 싶은 말은 "qmail로 바꾸었으니 이제 안전하겠지...." 라고 생각하는 순간 함정에 빠진 것이라는 겁니다.

옳은 지적입니다.
어떠한 좋은 솔루션이라 할 지라도 결국 사람입니다.

그리고 sendmail의 메일박스 형태(/var/spool/mail/id) 형식으로 qmail을
사용 하실 수 있습니다.(설정 나름입니다.)
하지만 sendmail의 잔인하게 꼬인 alias를 해결하기 위해서는
잔인한 고생을 한번 더 하셔야 할겁니다.
sendmail의 alias는 융통성 있게 설정 되는 반면,
qmail은 정확하게 지정되지 않으면 모두 반송합니다.
(보안문제 때문에 그러는것 같습니다.)
좀 더 자세한 정보는
qmail.kldp.org에서..

김충길의 이미지

맨드레이크도 업데이트 올라 왔네요.

screen + vim + ctags 좋아요~

ez8의 이미지

젠투 쪽에서는 postfix 를 밀어주는 것 같습니다.

저도 일단 postfix 를 깔아 놓기는 했는데,

좋은지는 모르겠군요.

kookooo의 이미지

jj wrote:
안녕하세요

1. /var/spool 에 있는 mail 파일들은 당연히 호환되겠죠?
2. alias가 잔인하게 많습니다. 호환가능합니까?

1. /var/spool/mail 에 있는 메일들과 엄밀히 말하면 호환 안됩니다. (MDA 쪽 프로그램이 쉽기 때문에 호환되게도 할 수 있기는 합니다만 기본적인 설치만으로는...)
큐메일 자체는 Mbox, Maildir 을 지원하지만 기본적으로 User 홈디렉토리 밑에 위치하게 해둡니다.
그러나 /var/spool/ 에 있는 mbox 들의 이름과 /etc/passwd 에 있는 userid 를 찾아서 converting 해주는 스크립트가존재합니다.

2. alias 는 더 잔인하게 많아도 가능합니다.
.forward 와 호환되는 유틸도 있고..
qmail 자체의 alias 기능도 있습니다.
걱정 안하셔도 될거 같습니다.
기본적으로 동아리 서버라면 mailman 또는 ezmlm 을 추천합니다.

kookooo의 이미지

jedi wrote:
분위기가 qmail은 버그가 없고 sendmail은 버그가 많다로 정해지는 것 같은데 꼭 그런 것은 아니라고 봅니다.

오히려 sendmail의 사용자나 인지도가 높기 때문에 버그 발표가 요란해서 그럿다고 생각되는 것뿐이라는 생각이 듭니다.

제가 하고 싶은 말은 "qmail로 바꾸었으니 이제 안전하겠지...." 라고 생각하는 순간 함정에 빠진 것이라는 겁니다.

버그가 없는 프로그램이 존재할 수 있다면 그렇지 않겠지만.......

기본적으로 preisner 님과 맥락은 같습니다.
qmail 의 경우엔 기본 개념상으로는 안전합니다.
그리고 우선 소스코드의 양이 적습니다. 따라서 보안상의 문제가 숨어 있을 공간도 적고.. 찾기도 쉽다는 이야기죠...

alias, qmaild, qmaill, qmailp, qmailq, qmailr, qmails
7개의 아이디가 기본적으로 필요합니다.

뭐 보안에 문제가 생긴다면 id가 많아져서? -_-;;;;
대충 로그인 쉘을 true, false 로 지정해 두면 괜찮을 겁니다.

전통적으로 djb 의 소프트웨어들은 (qmail, djbdns) id 를 많이 만들죠...
이 아이디 관리만 잘해주면 안전할겁니다.

kookooo의 이미지

ironiris wrote:
qmail 은 취약점을 발견하면 얼마의 돈을 줘서 이미 다 해결된 문제인가??

^^; qmail 저자가 자랑하는 것이 그것입니다.
아직 돈 받은 사람이 없다 라는 것...

bluemoon의 이미지

데비안을 빼고는 잘 알려진 유닉스한 OS엔 샌드메일이 디폴트로 설치되는 MTA 더군요.
보안버그 발표가 BIND와 함께 가장 많은 축에 속하는 놈인데, 많은 오픈소스 OS들이
샌드메일을 기본 MTA로 설정하는 이유는 무엇인지 궁금해집니다.
제가 볼땐 exim이나 qmail이 더 나아보이는데..
대중성이란 이유 때문인지...

kookooo의 이미지

bluemoon wrote:
데비안을 빼고는 잘 알려진 유닉스한 OS엔 샌드메일이 디폴트로 설치되는 MTA 더군요.
보안버그 발표가 BIND와 함께 가장 많은 축에 속하는 놈인데, 많은 오픈소스 OS들이
샌드메일을 기본 MTA로 설정하는 이유는 무엇인지 궁금해집니다.
제가 볼땐 exim이나 qmail이 더 나아보이는데..
대중성이란 이유 때문인지...

글쎄요 제 생각에도 대중성일 거 같네요..
대중성 중에.. 기존에 많이 써왔던 이고... 인지도 면에서도 그렇지만..
기존에 sendmail 중심으로 되어 있는 환경설정들이 많아서 일 듯인거 같네요...

기본적으로 관리자들은 무언가 새로운 것으로 마이그레이션 하는 것을 싫어하니까요...

전 qmail 을 사용하지만 후후 가끔 qmail도 rpm 으로 배포본에 포함되었으면 하기는 하네요... RPM 만들기도 귀찮아서요 후후...

좀더 시간이 지나면 어느정도 정리가 될거 같네요..

qmail
postfix
exim
등의 사용이 부쩍 늘고 있는거 같네요... 저야 qmail 에 만족해서 계속 쓰고 있지만요... 흐음 한번 사용율 조사 해봐도 좋겠네요 ^^

bluemoon의 이미지

bluemoon wrote:
데비안을 빼고는 잘 알려진 유닉스한 OS엔 샌드메일이 디폴트로 설치되는 MTA 더군요.
보안버그 발표가 BIND와 함께 가장 많은 축에 속하는 놈인데, 많은 오픈소스 OS들이
샌드메일을 기본 MTA로 설정하는 이유는 무엇인지 궁금해집니다.
제가 볼땐 exim이나 qmail이 더 나아보이는데..
대중성이란 이유 때문인지...

이런류의 비슷한 궁금증이 또 있었는데 python의 기본 GUI 라이브러리 말인데요.
리차드스톨만이 이런말을 했던 것 같은데.. 자기는 wxPython이 왜 python의 기본 GUI
라이브러리가 되지 않는지 의아하다. 라고 말했던것 같네요.

유닉스한 OS들에서 돌아가는 소프트웨어들도 그런것 같습니다.
tcsh가 csh보다 훨씬 더 많은 기능과 편리성을 제공하는데도 불구하고
프비의 기본 shell이 되기까지는 꽤나 긴 시간이 필요했던것 같네요. (csh가 tcsh로
링크된거 맞죠? ^^)
다른 예로 BIND도 버그많기로 알아주는 놈인데 qmail을 만든 사람의 dns서버는
BIND의 보안버그가 발표되어도 아예 거론되지도 않고 있고..
이것이 유닉스를 사용하는 이들의 보수적 성향때문이라 생각되기도 하지만
귀찮아서..라는 게으름 때문인것 같기도 하고.. 그렇습니다.
대중성이란 이유 하나만으론 부족한것 같아서 몇자 더 적어봤습니다.

kookooo의 이미지

bluemoon wrote:
다른 예로 BIND도 버그많기로 알아주는 놈인데 qmail을 만든 사람의 dns서버는
BIND의 보안버그가 발표되어도 아예 거론되지도 않고 있고..
이것이 유닉스를 사용하는 이들의 보수적 성향때문이라 생각되기도 하지만
귀찮아서..라는 게으름 때문인것 같기도 하고.. 그렇습니다.
대중성이란 이유 하나만으론 부족한것 같아서 몇자 더 적어봤습니다.

저는 djbdns 사용하고 있는데 아주 좋습니다. 흡족하죠 ^^

후후 그런데 Active Directory 와 연동하려고 하니..
아무래도 BIND 쪽자료가 많더군요..

즉.. 어떤 새로운 것을 하는데 있어서 그만큼 레퍼런스가 많지 않다는게 문제가 될때가 많더군요..

물론 이를 구축하면서 Active Directory 에 대한 정확한 이해를 하고 djbdns 에 대한 이해와 그리고 bind 와의 차이점을 알게 될테니...

저 처럼 그냥 재미삼아(?) 무언가를 해보는 사람에게는 즐거운 일일지는 몰라도.. 아무래도 그 외의 분들에게는 상당한 장벽이 될거 같네요....

레퍼런스가 참 중요한거 같다는 생각이 많이 드네요..

perky의 이미지

bluemoon wrote:
데비안을 빼고는 잘 알려진 유닉스한 OS엔 샌드메일이 디폴트로 설치되는 MTA 더군요.
보안버그 발표가 BIND와 함께 가장 많은 축에 속하는 놈인데, 많은 오픈소스 OS들이
샌드메일을 기본 MTA로 설정하는 이유는 무엇인지 궁금해집니다.
제가 볼땐 exim이나 qmail이 더 나아보이는데..
대중성이란 이유 때문인지...

FreeBSD의 경우에는 sendmail을 빼자는 것이 몇 년전부터 중론이지만
대체할 가벼운 local MDA가 적당한 것이 등장하지 않고 있었고 (요즘 개발되고
있습니다.) 여러 MDA를 쉽게 통합한 인터페이스를 제공해 주기 위해 작업을
활발히 진행해줄 개발자가 딱히 없어서가 주요 이유입니다.

bluemoon wrote:

이런류의 비슷한 궁금증이 또 있었는데 python의 기본 GUI 라이브러리 말인데요.
리차드스톨만이 이런말을 했던 것 같은데.. 자기는 wxPython이 왜 python의 기본 GUI
라이브러리가 되지 않는지 의아하다. 라고 말했던것 같네요.

리차드스톨만은 아니고 에릭 레이먼드입니다.
그리고, wxPython이 파이썬 표준 GUI가 되지 못하는 이유는 wxWindows가
GPL이기 때문입니다. Python 개발자들은 GPL에 얽매이는 것을 극도로 꺼립니다.

You need Python

chocoheim의 이미지

perky wrote:

그리고, wxPython이 파이썬 표준 GUI가 되지 못하는 이유는 wxWindows가
GPL이기 때문입니다. Python 개발자들은 GPL에 얽매이는 것을 극도로 꺼립니다.

왜 그런가요? :?:

WaitplzplzWait

perky의 이미지

chocoheim wrote:
perky wrote:

그리고, wxPython이 파이썬 표준 GUI가 되지 못하는 이유는 wxWindows가
GPL이기 때문입니다. Python 개발자들은 GPL에 얽매이는 것을 극도로 꺼립니다.

왜 그런가요? :?:

많은 수의 Python 애플리케이션들이 오픈소스가 아니기 때문입니다.
Python의 표준 요소 중의 일부가 GPL이 되면 Python이 GPL의 구속을
받게 돼서 오픈소스가 아닌 애플리케이션을 만들기가 힘들어집니다.
자세한 것은 http://www.google.com/search?q=site%3Amail.python.org+gpl+license 에서 보시면 많이 있습니다.

You need Python

cjh의 이미지

sendmail 대신 쓸 MTA로는 postfix가 좋습니다. 보안문제도 거의 없고
(지금까지 3년 이상 쓰면서 보안문제로 업데이트한 경험이 없습니다)
sendmail 스타일 그대로 사용할 수 있습니다(메일박스, alias 포맷을
그대로 유지할 수 있습니다. 물론 Maildir포맷도 사용 가능하고...).
성능도 괜찮은 편이고요.

http://www.postfix.org

--
익스펙토 페트로눔

kihoori의 이미지

와우 리눅스 파란은 업데이트를 어떻게 해야 하는지 막막합니다..

지금 하려고 하니 이게 업고 이거 깔라 하믄 저게 업고 이런식으로 꼬리에 꼬리를 물면서 완전히 시스템 새로 깔아야 하는건 아닌가 하는데요..

wowlinux Paran R2입니다.. 조언을 부탁드립니다..ㅜ.ㅜ

와우 홈은 신입사원뽑고 하는거 보면 망하진 않은것 같은데...... 왜 전혀 업데이트가 없는것인지 모르겠네요..