forum.opennet.ru - "Раскрыты подробности критической уязвимости в Exim" (97)

"Раскрыты подробности критической уязвимости в Exim"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Раскрыты подробности критической уязвимости в Exim"	+/–
Сообщение от opennews (??), 06-Сен-19, 20:19
Опубликован корректирующий выпуск Exim 4.92.2 с устранением критической уязвимости (CVE-2019-15846), которая в конфигурации по умолчанию может привести к удалённому выполнению кода злоумышленника с правами root. Проблема проявляется только при включении поддержки TLS и эксплуатируется через передачу специально оформленного клиентского сертификата или модифицированного значения в SNI. Уязвимость выявлена компанией Qualys... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=51435
Ответить \| Правка \| Cообщить модератору

Оглавление

Ну и напоследок компания Qualys и разработчики Exim в очередной раз желают вс, KaE (ok), 20:28 , 06-Сен-19, (2) +6

Вспомнился старый анекдот Понедельник, утро, семейный очаг, благоверная дежурит , fail (?), 05:53 , 07-Сен-19, (49) +1

ГЕНИАЛЬНО , Аноним (3), 20:53 , 06-Сен-19, (3) +20

Кстати это реально работает Я не подвержен уязвиомостям виндоус, потому что не , Аноним (4), 21:11 , 06-Сен-19, (4) +13
Да ладно Вам - в этом году всего три у exim и одна у dovecot критические уязвимо, suffix (ok), 21:30 , 06-Сен-19, (5) +3

Ещё бы придумать инструмент своевременного оповещения о выходе новых версии софт, robot228 (?), 22:13 , 06-Сен-19, (13)

https vulners com products, Аноним (16), 22:15 , 06-Сен-19, (16) –1

Чистая белая страница , Аноним (105), 22:25 , 09-Сен-19, (105)

так придуман давно - tail var log apt log или как он там наивные дети, думающи, пох. (?), 22:22 , 06-Сен-19, (19) –1

У тебя моцк ктухлу зохавал походу В чс добавил Запарил всякую фигню нести , robot228 (?), 23:06 , 06-Сен-19, (35) –1

очередное детишко обиделось ну ладно, пусть больше не читает - а то ж разрушают , . (?), 08:19 , 07-Сен-19, (52) –2

Пох, а терминация TLS для почтового трафика на реверсном прокси насколько удачно, Аноним (63), 12:56 , 07-Сен-19, (63)

две точки отказа вместо одной и два уязвимых сервиса вместо одного, ну я хз нет,, пох. (?), 12:59 , 09-Сен-19, (99)

На https www cvedetails com есть кастомизируемый RSS , KonstantinB (ok), 22:29 , 06-Сен-19, (24)

Через 4 года тут будет город сад с https www cvedetails com cve-details ph, Аноним (40), 00:20 , 07-Сен-19, (40)
https www openwall com lists oss-security , Тройной (?), 03:15 , 07-Сен-19, (43)

А лучше, чтобы этот инструмент сам же эти критические обноления и ставил 8230 , Аноним (60), 10:24 , 07-Сен-19, (60)
https www itsecdb com oval , OpenEcho (?), 17:10 , 07-Сен-19, (71)

Иногда тяжело отличать сарказм и не сарказм , Аноним (42), 01:10 , 07-Сен-19, (42)
Есть Postfix, если что , BrainFucker (ok), 09:02 , 07-Сен-19, (58) +1
Да-да, уязвимости, о которых тут не пишут, они ведь не существуют И ты ведь 24 , Аноним (60), 10:16 , 07-Сен-19, (59)

Конечно 24 7 - а как же иначе гордо нести высокое звание постмастера , suffix (ok), 10:55 , 07-Сен-19, (62)

У многих современных постмастеров даже такого алиаса нет Какой уж тут 24 7 , Аноним (63), 12:59 , 07-Сен-19, (64) +1

afair, в б-жественной бубунточке я видел etc aliases длиной ноль байт Ну а чо,, пох. (?), 13:00 , 09-Сен-19, (100)

epel, кстати, обновился - удивительно, и необычно для них, не прощелкали , пох. (?), 21:59 , 06-Сен-19, (9) –3

То то пишут бред, не обновились они Так что пох и нах, Аноним (16), 22:02 , 06-Сен-19, (10)

да, зря я за них радовался - не туда глянул там все как обычно - 4 92 1ну нич, пох. (?), 22:08 , 06-Сен-19, (12)

До сих пор не обновилсяДырявый ентерпрайс Счастлив от того что у меня Ubuntu, ре, Аноним (82), 04:29 , 08-Сен-19, (82)

Уже сен 8 05 04 время на синк по зеркалам , Аноним (40), 10:37 , 08-Сен-19, (85)

че-та поторопились, эксплойт видимо никто так толком и не выпустил - доля спама , пох. (?), 12:35 , 09-Сен-19, (92)

epel - нерекомендованный к использованию энтерпрайзом репозиторий сам-то ты рука, пох. (?), 12:37 , 09-Сен-19, (93)

Про Windows 10 еще надо было написать , KonstantinB (ok), 22:24 , 06-Сен-19, (20) +1
В EPEL до сих пор нет нового EximВсе так называемые ентерпрайс системы типа Cent, Аноним (82), 04:27 , 08-Сен-19, (81)

А что мешает вам использовать в продакшене систему с postfix по умолчанию вместо, Аноним (88), 17:43 , 08-Сен-19, (88)

Обновления для постфикс будут от этого выходить быстрее чем обновления для exim , Аноним (63), 23:40 , 08-Сен-19, (89)

epel - нет, и никогда раньше не стоило What is EPEL EPEL Extra Packages for E, пох. (?), 12:41 , 09-Сен-19, (94)

ну шо продолжаем дискуссию по поводу терминирующего нуль символа , Sw00p aka Jerom (?), 21:50 , 06-Сен-19, (6)

Полезная оказывается штука, этот символ А сколько их ещё не нашли Подождем пару , Аноним (63), 13:04 , 07-Сен-19, (66)

RedHat не выпустил еще пакеты, доступны по ссылке https apps fedoraproject org, Аноним (16), 21:52 , 06-Сен-19, (7)
очередной привет от ненужно-sni интересно, вот каких печенек с какой волшебной т, пох. (?), 21:57 , 06-Сен-19, (8) –3

Ну удобно же на одном exim получать почту на несколько доменов с разными IP и се, suffix (ok), 22:05 , 06-Сен-19, (11) +1

еще один - зачем тебе разные сертификаты одного и того же сервера, принадлежащи, пох. (?), 22:14 , 06-Сен-19, (14) –2

Как перфекционисту приятно же иметь наhttps www immuniweb com ssl id WxGZsI4I, suffix (ok), 22:21 , 06-Сен-19, (18) +1

И arbitrary code execution под рутом Бонусом - , KonstantinB (ok), 22:27 , 06-Сен-19, (22) +1

Тонизирует и заставляет отслеживать обновления , suffix (ok), 22:29 , 06-Сен-19, (25) +1
Бонус только для тех, у которых exim под рутом крутится, или с suid битом А есл, Тот самый (?), 23:58 , 06-Сен-19, (38) –2

Выполнение произвольного кода под uid мейлера - тоже не сахар, Аноним (47), 04:20 , 07-Сен-19, (47)

ну вот теперь имеешь remote root Приятно, ага попутно кормишь товарищмайора мет, пох. (?), 22:29 , 06-Сен-19, (23) –1

С этой точки зрения я с Ваии согласен, но есть один нюанс - у меня есть убеждени, suffix (ok), 22:36 , 06-Сен-19, (28)

Не, это уже про DKIM, а там совсем другая история , KonstantinB (ok), 22:39 , 06-Сен-19, (32)

DKIM вообще у всех есть - Гугл на него практически не смотрит - так маленький пл, suffix (ok), 22:45 , 06-Сен-19, (33) +1

Ну не знаю, спам я не шлю, а рассылки, на которые пользователь осознанно подписа, Аноним (47), 04:22 , 07-Сен-19, (48)
смотрит, но не так как ты думаешь И да, у каждого спамера dkim - разумеется, ес, пох. (?), 08:28 , 07-Сен-19, (53)

Вы это мне У меня рассылки подписчикам сайта никогда в спам не попадают Год, suffix (ok), 08:52 , 07-Сен-19, (57) –1

Совершенно упоротая писькомерка Проверил свой postfix, подкрутил настройки 82, Аноним (60), 23:37 , 07-Сен-19, (78) +1

А вот сейчас обидно Если на странице этого теста перейти во вкладку About то, suffix (ok), 23:55 , 07-Сен-19, (79)

Потому что других просто нет , Аноним (60), 10:09 , 08-Сен-19, (84)

Почему нет Есть же testssl sh, sslyze которые умеют smtp Но immuniweb бывший , suffix (ok), 11:12 , 08-Сен-19, (86) –1

ну так кому - надежный почтовый сервер, а кому - писькомерку Эти категории почти, пох. (?), 13:08 , 09-Сен-19, (103)

Я вообще узнал про то, что там есть SNI, только сегодня Сильно удивился, на кой, KonstantinB (ok), 22:26 , 06-Сен-19, (21)

его скорее всего и отключить-то в распрекрасном openssl нельзя Можно только про, пох. (?), 22:30 , 06-Сен-19, (26)

Не, SNI там надо в явном виде заимплементить SSL_CTX и колбэк на каждый SNI h, KonstantinB (ok), 22:37 , 06-Сен-19, (29) +1

ну вот колбэки можно не регистрировать, а ненужнозаголовок оно все равно небось , пох. (?), 08:30 , 07-Сен-19, (54)

Если не дергать SSL_set_tlsext_host_name, ничего не отправит А откуда ему знать, KonstantinB (ok), 20:39 , 07-Сен-19, (75)

что-нибудь найдут, я в них верюесли у тебя есть подходящий кусок кода - можно бы, пох. (?), 12:48 , 09-Сен-19, (96)

Ога, долбоклювы прозевали, а виноват SNI А вообще, если бы все боялись осваиват, нона (?), 22:39 , 06-Сен-19, (31) –1

Сишечка православная не прощает невнимательных , Anonymoustus (ok), 22:14 , 06-Сен-19, (15) +3
Интересно, вот, из общетеоретических соображений если сконвертировать исходники, Anonymoustus (ok), 22:17 , 06-Сен-19, (17) +1

нет, поскольку они и работать - тоже не будут , пох. (?), 22:30 , 06-Сен-19, (27) +1

Но ведь уязвимости нет, если ничего не работает philosoraptor jpg , KonstantinB (ok), 22:38 , 06-Сен-19, (30) +2
Почему же нет Фрипаскалем сконьпелировать статически 8212 ещё и на линуксах , Anonymoustus (ok), 22:51 , 06-Сен-19, (34) –1

Вирт хитро улыбнулся и заказал еще попкорна, Аноним (36), 23:07 , 06-Сен-19, (36) +1

Делать это я не пробовал, но пишут, что можно https wiki freepascal org C_to_P, Anonymoustus (ok), 23:18 , 06-Сен-19, (37)

Смысл то очевидно что в более строгом языке косяков меньше, про это все знают, , Аноним (36), 00:02 , 07-Сен-19, (39)
хеловорд - можно в остальных случаях ты напишешь еще один си-компилятор, с динам, пох. (?), 08:32 , 07-Сен-19, (55) +1

Из общетеоретических соображений ответить на этот вопрос невозможно Но из практ, Ordu (ok), 01:03 , 07-Сен-19, (41) +2

А Rust, разве, не таким же образом обеспечивает безопасность без потери произв, Андрей (??), 03:24 , 07-Сен-19, (44)

Я думаю, так же Не уверен -- я никогда не разбирался как работают оптимизаторы , Ordu (ok), 06:12 , 07-Сен-19, (50)
у него обычный компилятор А одним из великих преимуществ паскакаля для студоты , пох. (?), 08:39 , 07-Сен-19, (56) –1

Для новых анонимов поясню, а то пох слишком скромный Это были рассуждения и мысл, Анонимный_Пояснитель (?), 13:32 , 07-Сен-19, (69) +1

А с точки зрения банальной эрудиции , Аноним (60), 10:39 , 07-Сен-19, (61)

Можно попробовать сконвертировать и на Go https github com elliotchance c2go, Андрей (??), 03:29 , 07-Сен-19, (45) –1

Есть более современая замена Vlang переводит си в V голанг подобный , Аноним (46), 04:13 , 07-Сен-19, (46)

Его что, за 3 месяца резко перевели из разряда препрепрепреальфа и много мыслей, Аноним84701 (ok), 13:52 , 07-Сен-19, (70) +1

Да, идея, в целом, именно такая получится ли конвертировать сишные исходники во, Anonymoustus (ok), 06:56 , 07-Сен-19, (51)

Не очень понятно, зачем почтовому демону вытаскивать бекслэши из строк где-либо , None (??), 18:20 , 07-Сен-19, (72)

Для выполнения парсером любого кода как обговорено разработчиками с ЦРУ и АНБ , Аноним (76), 21:20 , 07-Сен-19, (76) –2

Спасибо что не сказали об этом сразу, а поквасили пару недель в ожидании исправл, Аноним (74), 20:15 , 07-Сен-19, (74) –2

тебя тутошние вопли страдальцев с epel ничему не научили мы верим что ущерб от н, пох. (?), 12:54 , 09-Сен-19, (97)

Предложил правку, но вообще новость в таком изложении звучит как-то даже прям ин, Michael Shigorin (ok), 21:29 , 07-Сен-19, (77) –2
В EPEL до сих пор нет нового EximВсе так называемые ентерпрайс системы типа Cent, Аноним (82), 04:27 , 08-Сен-19, (80) +1

А какое отношение Centos имеет к EPEL Это васянский сторонний репозиторий , Аноним (83), 09:31 , 08-Сен-19, (83) +1

Именно поэтому надо ставить нормальный дистрибутив, а не центось и потом обмазыв, Аноним (82), 12:15 , 08-Сен-19, (87) +1
Не васянский, а федорастический Что не лень федоромайнтайнерам лишний раз собра, Аноним (60), 14:14 , 09-Сен-19, (104)

Если sni не используется имеет смысл включать , Аноним (90), 09:19 , 09-Сен-19, (90)
failed to expand ACL string if eq substr -1 1 tls_in_sni unkno, Аноним (90), 09:42 , 09-Сен-19, (91)
CVE-2019-16928Шо, опять , Anonimus (??), 12:21 , 29-Сен-19, (108)

Сообщения [Сортировка по времени | RSS]

2. "Раскрыты подробности критической уязвимости в Exim" +6 +/–

Сообщение от KaE (ok), 06-Сен-19, 20:28

Ну и напоследок... компания Qualys и разработчики Exim в очередной раз желают всем приятных выходных!

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

49. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от fail (?), 07-Сен-19, 05:53

>Ну и напоследок... компания Qualys и разработчики Exim в очередной раз желают всем приятных выходных!
Вспомнился старый анекдот:
Понедельник, утро, семейный очаг, благоверная дежурит со спец. ср-вами, заползает добытчик шкур мамонтов, диалог:
- ты где был ?
- в эту праздничную ночь, с четверга на понедельник мы отмечали ДР кореша !
Занавес

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

3. "Раскрыты подробности критической уязвимости в Exim" +20 +/–

Сообщение от Аноним (3), 06-Сен-19, 20:53

> RHEL и CentOS проблеме не подвержены, так как Exim не входит в их штатный репозиторий пакето
ГЕНИАЛЬНО!

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

4. "Раскрыты подробности критической уязвимости в Exim" +13 +/–

Сообщение от Аноним (4), 06-Сен-19, 21:11

Кстати это реально работает. Я не подвержен уязвиомостям виндоус, потому что не ставил её себе.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

5. "Раскрыты подробности критической уязвимости в Exim" +3 +/–

Сообщение от suffix (ok), 06-Сен-19, 21:30

Да ладно Вам - в этом году всего три у exim и одна у dovecot критические уязвимости - главное новости этого сайта читать и обновляться вовремя.
Всё равно exim + dovecot лучше чем гугл-почта и дешевле чем эксчендж.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

13. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от robot228 (?), 06-Сен-19, 22:13

Ещё бы придумать инструмент своевременного оповещения о выходе новых версии софта, особенно если дело касается критических исправлении. Пока к сожалению только на гитхабе по RSS все обновы ставлю. Но есть такой софт который не хостится на гитхабе и тому подобных системах.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

16. "Раскрыты подробности критической уязвимости в Exim" –1 +/–

Сообщение от Аноним (16), 06-Сен-19, 22:15

https://vulners.com/products

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

105. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (105), 09-Сен-19, 22:25

Чистая белая страница.

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

19. "Раскрыты подробности критической уязвимости в Exim" –1 +/–

Сообщение от пох. (?), 06-Сен-19, 22:22

так придуман давно - tail /var/log/apt.log (или как он там)
наивные дети, думающие что они могут уследить за всем миллионом кривых софтин установленных на всех хостах - должны же страдать еще до того, как выберутся за пределы локалхоста?

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

35. "Раскрыты подробности критической уязвимости в Exim" –1 +/–

Сообщение от robot228 (?), 06-Сен-19, 23:06

> так придуман давно - tail /var/log/apt.log (или как он там)
> наивные дети, думающие что они могут уследить за всем миллионом кривых софтин
> установленных на всех хостах - должны же страдать еще до того,
> как выберутся за пределы локалхоста?
У тебя моцк ктухлу зохавал походу. В чс добавил. Запарил всякую фигню нести.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

52. "Раскрыты подробности критической уязвимости в Exim" –2 +/–

Сообщение от . (?), 07-Сен-19, 08:19

очередное детишко обиделось?
ну ладно, пусть больше не читает - а то ж разрушают ему розовый маня-мирок, где оно может вовремя и хоть с какой пользой (учитывая типовое жданье ебилдов) отслеживать все-все-все уязвимости во всем-всем-всем что понаустанавливало...или точнее поустанавливали за него умные дяди без спросу.
И конечно же о каждой уязвимости обязательно сообщают через специальные мэйллисты и модный слак, а не молча выпускают новую версию без лишнего ажиотажа, главное только найти в лесу этот волшебный цветочек...то есть мэйллист.

Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

63. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (63), 07-Сен-19, 12:56

Пох, а терминация TLS для почтового трафика на реверсном прокси насколько удачное решение, и почему? Спасибо.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

99. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от пох. (?), 09-Сен-19, 12:59

> Пох, а терминация TLS для почтового трафика на реверсном прокси насколько удачное
> решение, и почему? Спасибо.
две точки отказа вместо одной и два уязвимых сервиса вместо одного, ну я хз.
нет, если под "proxy" ты подразумеваешь какой-нибудь ironport - то, конечно, работает - в смысле, за его интерфейсом tls и не особо нужен, и никакими неприятностями если и есть, не грозит.
Он и еще от статыщ болезней помогает, только стоит, гад, неприличных денег, купите два и заплатите всего-навсего вдвое больше! И настраивать неудобно, как и у всех энтерпрайзных поделок.
А самому из дерьма и палок лепить - зачем?

Ответить | Правка | ^ к родителю #63 | Наверх | Cообщить модератору

24. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от KonstantinB (ok), 06-Сен-19, 22:29

На https://www.cvedetails.com/ есть кастомизируемый RSS.

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

40. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (40), 07-Сен-19, 00:20

Через 4 года тут будет город сад... (с)
https://www.cvedetails.com/cve-details.php?cve_id=CVE-2019-1...
Unknown CVE ID
Нет, конечно, дней через несколько оно там появится, но не сегодня..
Но ремотный рут это такая штука, о которой через неделю узнать может оказаться поздно. (даже если не рут, а просто пользователь от которого работает почтовка.. это обычно все, что и есть на сервере. Уж мейнить и спамить - 100% хватит.)

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

43. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Тройной (?), 07-Сен-19, 03:15

https://www.openwall.com/lists/oss-security/

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

60. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (60), 07-Сен-19, 10:24

> Ещё бы придумать инструмент своевременного оповещения о выходе новых версии софта, особенно если дело касается критических исправлении.
А лучше, чтобы этот инструмент сам же эти критические обноления и ставил… Хотя погоди!
https://wiki.debian.org/UnattendedUpgrades
https://dnf.readthedocs.io/en/latest/automatic.html

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

71. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от OpenEcho (?), 07-Сен-19, 17:10

https://www.itsecdb.com/oval/

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

42. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (42), 07-Сен-19, 01:10

Иногда тяжело отличать сарказм и не сарказм.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

58. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от BrainFucker (ok), 07-Сен-19, 09:02

> Всё равно exim + dovecot лучше чем
Есть Postfix, если что.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

59. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (60), 07-Сен-19, 10:16

> главное новости этого сайта читать и обновляться вовремя.
Да-да, уязвимости, о которых тут не пишут, они ведь не существуют. И ты ведь 24/7 онлайн, чтобы вовремя прочитать новость и накатить обнову на свой сервачок, не так ли?

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

62. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от suffix (ok), 07-Сен-19, 10:55

Конечно 24/7 - а как же иначе гордо нести высокое звание постмастера :) ?

Ответить | Правка | ^ к родителю #59 | Наверх | Cообщить модератору

64. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от Аноним (63), 07-Сен-19, 12:59

У многих современных постмастеров даже такого алиаса нет. Какой уж тут 24/7.

Ответить | Правка | ^ к родителю #62 | Наверх | Cообщить модератору

100. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от пох. (?), 09-Сен-19, 13:00

> У многих современных постмастеров даже такого алиаса нет. Какой уж тут 24/7.
afair, в б-жественной бубунточке я видел /etc/aliases длиной ноль байт. Ну а чо, кому надо - напишет свои же ж?

Ответить | Правка | ^ к родителю #64 | Наверх | Cообщить модератору

9. "Раскрыты подробности критической уязвимости в Exim" –3 +/–

Сообщение от пох. (?), 06-Сен-19, 21:59

epel, кстати, обновился - удивительно, и необычно для них, не прощелкали.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

10. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (16), 06-Сен-19, 22:02

То то пишут бред, не обновились они. Так что пох и нах

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

12. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от пох. (?), 06-Сен-19, 22:08

да, зря я за них радовался - не туда глянул. "там" все как обычно - 4.92.1
ну ничего, через недельку отдуплятся и поток спама с гуаноvps начнет снижаться.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

82. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (82), 08-Сен-19, 04:29

До сих пор не обновился
Дырявый ентерпрайс
Счастлив от того что у меня Ubuntu, реально, все апдейты вчера поставились

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

85. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (40), 08-Сен-19, 10:37

Уже... (сен  8 05:04 + время на синк по зеркалам)

Ответить | Правка | ^ к родителю #82 | Наверх | Cообщить модератору

92. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от пох. (?), 09-Сен-19, 12:35

> Уже... (сен  8 05:04 + время на синк по зеркалам)
че-та поторопились, эксплойт видимо никто так толком и не выпустил - доля спама с exim'ов нифига не изменилась, обычный всплеск в ночь с пятницы на понедельник.

Ответить | Правка | ^ к родителю #85 | Наверх | Cообщить модератору

93. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от пох. (?), 09-Сен-19, 12:37

> До сих пор не обновился
> Дырявый ентерпрайс
epel - нерекомендованный к использованию энтерпрайзом репозиторий.
> Счастлив от того что у меня Ubuntu, реально, все апдейты вчера поставились
сам-то ты руками вообще ничего делать не умеешь, только писюн теребить, да?
"счастлив от того что у меня exchange, все апдейты всегда сами ставятся. А если чего и не исправляют - я об этом все равно не узнаю."

Ответить | Правка | ^ к родителю #82 | Наверх | Cообщить модератору

20. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от KonstantinB (ok), 06-Сен-19, 22:24

Про Windows 10 еще надо было написать!

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

81. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (82), 08-Сен-19, 04:27

В EPEL до сих пор нет нового Exim
Все так называемые ентерпрайс системы типа CentOS уязвимы
И стоит ли после этого в продакшин использовать их?)

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

88. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (88), 08-Сен-19, 17:43

А что мешает вам использовать в продакшене систему с postfix по умолчанию вместо дырявого сабжа?

Ответить | Правка | ^ к родителю #81 | Наверх | Cообщить модератору

89. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (63), 08-Сен-19, 23:40

Обновления для постфикс будут от этого выходить быстрее чем обновления для exim?

Ответить | Правка | ^ к родителю #88 | Наверх | Cообщить модератору

94. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от пох. (?), 09-Сен-19, 12:41

> В EPEL до сих пор нет нового Exim
> Все так называемые ентерпрайс системы типа CentOS уязвимы
> И стоит ли после этого в продакшин использовать их?)
epel - нет, и никогда раньше не стоило. What is EPEL? EPEL (Extra Packages for Enterprise Linux) is a volunteer-based community effort... то есть типовая васян-сборка пакетов, по разным причинам не включенных в поставку.
Годится чтоб не тратить время на то, что понадобилось один раз вот сейчас, или с чем хочется быстро поэкспериментировать на будущее.
А если ты промышленный почтовый сервер на много пользователей и с нетривиальной обработкой их почты (для чего и нужен exim) используешь не с самостоятельно как тебе нужно собранной версией, а с поделкой из epel - тебя ждут не дождутся на трехдневных курсах windows-админов.

Ответить | Правка | ^ к родителю #81 | Наверх | Cообщить модератору

6. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Sw00p aka Jerom (?), 06-Сен-19, 21:50

ну шо продолжаем дискуссию по поводу терминирующего нуль символа?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

66. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (63), 07-Сен-19, 13:04

Полезная оказывается штука, этот символ!
А сколько их ещё не нашли!
Подождем пару недель, пока какой-нибудь швед вылезет с очередной порцией символов.
Обнова будет в пятницу, чтобы админы на выходных не скучали.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

7. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (16), 06-Сен-19, 21:52

RedHat не выпустил еще пакеты, доступны по ссылке https://apps.fedoraproject.org/packages/exim/builds/

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

8. "Раскрыты подробности критической уязвимости в Exim" –3 +/–

Сообщение от пох. (?), 06-Сен-19, 21:57

очередной привет от ненужно-sni.
интересно, вот каких печенек с какой волшебной травой надо наесться, чтобы этот мусор притащить еще и в mta?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

11. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от suffix (ok), 06-Сен-19, 22:05

Ну удобно же на одном exim получать почту на несколько доменов с разными IP и сертификатами.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

14. "Раскрыты подробности критической уязвимости в Exim" –2 +/–

Сообщение от пох. (?), 06-Сен-19, 22:14

еще один :-(
зачем тебе разные сертификаты одного и того же сервера, принадлежащие одному и тому же юзеру на нем?
Для создания _видимости_ безопасности?

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

18. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от suffix (ok), 06-Сен-19, 22:21

Как перфекционисту приятно же иметь на
https://www.immuniweb.com/ssl/?id=WxGZsI4I
Не просто А+, но и compliant to PCI.DSS, HIPAA and NIST
:)

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

22. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от KonstantinB (ok), 06-Сен-19, 22:27

И arbitrary code execution под рутом. Бонусом. :-)

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

25. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от suffix (ok), 06-Сен-19, 22:29

Тонизирует и заставляет отслеживать обновления :)

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

38. "Раскрыты подробности критической уязвимости в Exim" –2 +/–

Сообщение от Тот самый (?), 06-Сен-19, 23:58

Бонус только для тех, у которых exim под рутом крутится, или с suid битом. А если так:
ps axu
mail     29485  0.0  0.0  7876 2016 ?  S  Sep06   0:00 exim -bdf -q15m
PS Да вообще-то уже обновился. Конфигурирование Makefile и сборка заняли ~10 минут

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

47. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (47), 07-Сен-19, 04:20

Выполнение произвольного кода под uid мейлера - тоже не сахар

Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

23. "Раскрыты подробности критической уязвимости в Exim" –1 +/–

Сообщение от пох. (?), 06-Сен-19, 22:29

ну вот теперь имеешь remote root. Приятно, ага.
попутно кормишь товарищмайора метаинфой.

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

28. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от suffix (ok), 06-Сен-19, 22:36

С этой точки зрения я с Ваии согласен, но есть один нюанс - у меня есть убеждение (не подкреплённые фактами правда), что для рассылок (попадание в инбокс) важно таки иметь отдельный сертификат на каждый домен.

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

32. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от KonstantinB (ok), 06-Сен-19, 22:39

Не, это уже про DKIM, а там совсем другая история.

Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

33. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от suffix (ok), 06-Сен-19, 22:45

DKIM вообще у всех есть - Гугл на него практически не смотрит - так маленький плюсик - сейчас у него в фаворе mta-sts.
Но и сертификат отдельный на домен тоже плюс маленький я думаю.

Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

48. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (47), 07-Сен-19, 04:22

Ну не знаю, спам я не шлю, а рассылки, на которые пользователь осознанно подписался, отлично доходят.

Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

53. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от пох. (?), 07-Сен-19, 08:28

смотрит, но не так как ты думаешь. И да, у каждого спамера dkim - разумеется, есть.
У нормальных списков рассылки - разумеется, нет. Но обезьянки из гугля - тyпopылы чуть более чем полностью, и продолжают отбрасывать валидную почту, пропуская спам.
Теперь вот требование к каждому почтовику иметь по веб-серверу. То ли тоже от тyпopылости, то ли надеются еще что-нибудь узнать о пользователях, то ли то и другое вместе.
> Но и сертификат отдельный на домен тоже плюс маленький я думаю.
вообще пох.
сделай себе dkim и можешь сэкономить на ненужно-tls. Раз уж майор один хрен знает домены, а за логами может и зайти, если понадобятся. На скор гугля вообще не влияет. Главное не забывай автоматически оформлять нешифрованные письма в "корпоративном дизайне корреспонденции". plaintext даже с dkim все чаще финиширует в папке "спам".

Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

57. "Раскрыты подробности критической уязвимости в Exim" –1 +/–

Сообщение от suffix (ok), 07-Сен-19, 08:52

Вы это мне ? :)
У меня рассылки подписчикам сайта никогда в спам не попадают. Годами рейтинг на senderscore.org 100.
Настроено всё разумеется spf, dkim,dmarc, ptr, smtp banner и так нравящиеся Гуглу MTA-STS, SMTP-TLSRPT (а это кстати ещё один отдельный сертификат на поддомен).
И пусть товарищ майор и знает и читает - ничего секретного в рассылках сайта нет - статьи про хрюш :)
А для нужных случаев есть всё что нужно с шахматами и поэтессами (верификации Dane tlsa под DNSSEC и шифрованием s/mime)

Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

78. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от Аноним (60), 07-Сен-19, 23:37

> Как перфекционисту приятно же иметь на
> https://www.immuniweb.com/ssl/
> Не просто А+, но и compliant to PCI.DSS, HIPAA and NIST
Совершенно упоротая писькомерка. Проверил свой postfix, подкрутил настройки — issues стало меньше, но общая оценка упала с A до A-. Это как так? Проверил HTTPS, подкрутил настройки — он почему-то не нашёл OCSP stapling, который как был включён, так и остался.
Ну и по алгоритмам у HIPAA и NIST весьма спорные рекомендации.

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

79. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от suffix (ok), 07-Сен-19, 23:55

А вот сейчас обидно :(
Если на странице этого теста перейти во вкладку "About" то на в низу в абзаце "acknowledgements" - в первой строчке я упомянут.
Понятно что у всех своё видение но это лучший тест в этой направленности (tls для smtp.

Ответить | Правка | ^ к родителю #78 | Наверх | Cообщить модератору

84. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (60), 08-Сен-19, 10:09

> Понятно что у всех своё видение но это лучший тест в этой направленности (tls для smtp.
Потому что других просто нет?

Ответить | Правка | ^ к родителю #79 | Наверх | Cообщить модератору

86. "Раскрыты подробности критической уязвимости в Exim" –1 +/–

Сообщение от suffix (ok), 08-Сен-19, 11:12

> Потому что других просто нет?
Почему нет ?
Есть же testssl.sh, sslyze которые умеют smtp.
Но immuniweb (бывший htbridge.com) ИМХО просто лучше !

Ответить | Правка | ^ к родителю #84 | Наверх | Cообщить модератору

103. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от пох. (?), 09-Сен-19, 13:08

> Совершенно упоротая писькомерка. Проверил свой postfix, подкрутил настройки — issues
ну так кому - надежный почтовый сервер, а кому - писькомерку.
Эти категории почти не пересекаются.
> Ну и по алгоритмам у HIPAA и NIST весьма спорные рекомендации.
ну так вам шашечки или сертификацию ? Во втором случае "спорные рекомендации" становятся бесспорными. В остальных случаях писькомерками не пользуются.

Ответить | Правка | ^ к родителю #78 | Наверх | Cообщить модератору

21. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от KonstantinB (ok), 06-Сен-19, 22:26

Я вообще узнал про то, что там есть SNI, только сегодня. Сильно удивился, на кой.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

26. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от пох. (?), 06-Сен-19, 22:30

его скорее всего и отключить-то в распрекрасном openssl нельзя. Можно только проигнорировать результат.

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

29. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от KonstantinB (ok), 06-Сен-19, 22:37

Не, SNI там надо в явном виде заимплементить. SSL_CTX() и колбэк на каждый SNI hostname.

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

54. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от пох. (?), 07-Сен-19, 08:30

ну вот колбэки можно не регистрировать, а ненужнозаголовок оно все равно небось отправит. С дефолтным доменом, если не назначить.

Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

75. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от KonstantinB (ok), 07-Сен-19, 20:39

Если не дергать SSL_set_tlsext_host_name, ничего не отправит. А откуда ему знать, что отправлять?

Ответить | Правка | ^ к родителю #54 | Наверх | Cообщить модератору

96. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от пох. (?), 09-Сен-19, 12:48

> Если не дергать SSL_set_tlsext_host_name, ничего не отправит. А откуда ему знать, что
> отправлять?
что-нибудь найдут, я в них верю
если у тебя есть подходящий кусок кода - можно было бы взять да и просто проверить tcpdump'ом, шлет он этот мусор или нет.

Ответить | Правка | ^ к родителю #75 | Наверх | Cообщить модератору

31. "Раскрыты подробности критической уязвимости в Exim" –1 +/–

Сообщение от нона (?), 06-Сен-19, 22:39

Ога, долбоклювы прозевали, а виноват SNI. А вообще, если бы все боялись осваивать технологии из-за страха получить уязвимость, ты бы до сих пор в пещере под шконкой сидел, а не пыхтел с теплого дивана.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

15. "Раскрыты подробности критической уязвимости в Exim" +3 +/–

Сообщение от Anonymoustus (ok), 06-Сен-19, 22:14

Сишечка православная не прощает невнимательных. :)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

17. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от Anonymoustus (ok), 06-Сен-19, 22:17

Интересно, вот, из общетеоретических соображений: если сконвертировать исходники на ненавидимый всеми Паскаль и скомпилировать — уязвимость будет?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

27. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от пох. (?), 06-Сен-19, 22:30

нет, поскольку они и работать - тоже не будут.

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

30. "Раскрыты подробности критической уязвимости в Exim" +2 +/–

Сообщение от KonstantinB (ok), 06-Сен-19, 22:38

Но ведь уязвимости нет, если ничего не работает!
(philosoraptor.jpg)

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

34. "Раскрыты подробности критической уязвимости в Exim" –1 +/–

Сообщение от Anonymoustus (ok), 06-Сен-19, 22:51

> нет, поскольку они и работать - тоже не будут.
Почему же нет? Фрипаскалем сконьпелировать статически — ещё и на линуксах правнуков будут работать.
Надо бы попробовать на чём-то.

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

36. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от Аноним (36), 06-Сен-19, 23:07

> если сконвертировать исходники на ненавидимый всеми Паскаль..
Вирт хитро улыбнулся и заказал еще попкорна

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

37. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Anonymoustus (ok), 06-Сен-19, 23:18

>> если сконвертировать исходники на ненавидимый всеми Паскаль..
> Вирт хитро улыбнулся и заказал еще попкорна
Делать это я не пробовал, но пишут, что можно:
https://wiki.freepascal.org/C_to_Pascal

Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

39. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (36), 07-Сен-19, 00:02

Смысл то? очевидно что в более строгом языке косяков меньше, про это все знают, но толку то? ситуация сложилась так как сложилась..

Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

55. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от пох. (?), 07-Сен-19, 08:32

хеловорд - можно.
в остальных случаях ты напишешь еще один си-компилятор, с динамическими строками в том числе. И нулевой производительностью.
Ну голову-то надо иногда не только кормить?

Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

41. "Раскрыты подробности критической уязвимости в Exim" +2 +/–

Сообщение от Ordu (ok), 07-Сен-19, 01:03

Из общетеоретических соображений ответить на этот вопрос невозможно. Но из практических соображений можно: это будет зависеть от того, как ты будешь конвертировать.
Если ты будешь использовать паскалевские строки, то выйти за границы массива тебе не удастся. Дыра таким образом заткнётся, но баг останется. И не факт, что этот баг не позволит эксплуатацию -- это уже будет зависеть от того, насколько корректно ты будешь обрабатывать ошибки в программе. И вряд ли очень корректно, если речь идёт о построчном переписывании exim.
А если ты откажешься от паскалевских строк, потому что, например, тебе не нравится сборка мусора, и ты хочешь рулить памятью под строки самостоятельно, то тут уже будет зависеть от того, как ты реализуешь строки в паскале. Скорее всего тебе ведь захочется отойти от упёртости паскаля реализуя их, и сделать что-нибудь разэдакое, в стиле:
struct c_string {
    size_t size;
    char str[0]; /* variable size */
};
Паскаль этого не позволяет (насколько я понимаю, он не умеет в array [] of char, а если ему указать 0 в качестве размера, то он любой индекс будет считать инвалидным и отвергать с рантайм ошибкой), значит ты так или иначе включишь "unsafe" режим программирования (заюзав какие-нибудь компиляторо-специфичные вещи, вплоть до ассемблерных вставок), таким образом у тебя будут все возможности нарушить инварианты языка, и если наружу ты выставишь API изоморфный C'шному API для работы с char* (чтобы максимально просто было бы переписывать), и под этим API не будешь вставлять дополнительных проверок на размеры (большинство этих проверок ведь не нужны и тормозят выполнение программы), то ты легко при переписывании сможешь воспроизвести баг.

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

44. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Андрей (??), 07-Сен-19, 03:24

> и под этим API не будешь вставлять дополнительных проверок на размеры (большинство этих проверок ведь не нужны и тормозят выполнение программы)
А Rust, разве, не таким же образом обеспечивает безопасность "без потери" производительности при обработке массивов?

Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

50. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Ordu (ok), 07-Сен-19, 06:12

>> и под этим API не будешь вставлять дополнительных проверок на размеры (большинство этих проверок ведь не нужны и тормозят выполнение программы)
> А Rust, разве, не таким же образом обеспечивает безопасность "без потери" производительности
> при обработке массивов?
Я думаю, так же. Не уверен -- я никогда не разбирался как работают оптимизаторы паскалей. Где-то читал, что они в 70-е годы умели оптимизировать эти проверки, выкидывая их из циклов или выполняя во время компиляции, то есть C был шагом назад уже тогда. Но сам я никогда не вникал. Хоть мне не очень верится: я видел код скомпилированный из C в 90-е, и он инлайня сохранял пролог/эпилог функции, создающий/удаляющий стековый фрейм. AFAIR, примеры тому можно найти, скажем, в heroes2.exe -- там инлайнятся строковые функции, типа strlen, и они сохраняют регистры которые можно не сохранять. Мне не очень верится что такого рода компилятор мог бы справится с преобразованием кода:
for i in 0..N {
   if i<N {
       println!("{}", arr[i]);
   } else {
       fatal_error("Index out of bounds");
   }
}
к
for i in 0..min(N, arr.len()) {
    println!("{}", arr[i]);
}
if N>=arr.len() {
    fatal_error("Index out of bounds");
}
Но может современные оптимизирующие компилятора паскаля так умеют? Впрочем, хз как им это может удастся, если нет возможности на функцию fatal_error повесить атрибут, говорящий компилятору, что эта функция никогда не возвращает управление.

Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

56. "Раскрыты подробности критической уязвимости в Exim" –1 +/–

Сообщение от пох. (?), 07-Сен-19, 08:39

> А Rust, разве, не таким же образом обеспечивает безопасность "без потери" производительности
> при обработке массивов?
у него обычный компилятор.
А одним из великих преимуществ паскакаля (для студоты и прочих ненужно) является то что его компиляторы - однопроходные. Ведь студенту главное что - чтобы быстро-быстро скомпилилось, и можно бежать пить смузи с девочками. А о производительносни ненужноязыковых программ вообще незачем заботиться. Все равно они кроме сортировки пузырьком ничего не делают.

Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

69. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от Анонимный_Пояснитель (?), 07-Сен-19, 13:32

> А одним из великих преимуществ паскакаля (для студоты и прочих ненужно) является то что его компиляторы - однопроходные. Ведь студенту главное что -
> чтобы быстро-быстро скомпилилось, и можно бежать пить смузи с девочками. А
> о производительносни ненужноязыковых программ вообще незачем заботиться.
Для новых анонимов поясню, а то пох слишком скромный:
Это были рассуждения и мысли о правильных и неправильных языках программирования от известного, активного, профессионального разработчика поха.
Для модераторов и некоторых совсем-совсем уже почти взрослых анонимых защитников поха от непонятно чего:
Эта штука называется сарказм.

Ответить | Правка | ^ к родителю #56 | Наверх | Cообщить модератору

61. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (60), 07-Сен-19, 10:39

> Из общетеоретических соображений ответить на этот вопрос невозможно. Но из практических соображений можно
А с точки зрения банальной эрудиции?

Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

45. "Раскрыты подробности критической уязвимости в Exim" –1 +/–

Сообщение от Андрей (??), 07-Сен-19, 03:29

Можно попробовать сконвертировать и на Go: https://github.com/elliotchance/c2go

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

46. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (46), 07-Сен-19, 04:13

Есть более современая замена Vlang переводит си в V (голанг подобный).

Ответить | Правка | ^ к родителю #45 | Наверх | Cообщить модератору

70. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от Аноним84701 (ok), 07-Сен-19, 13:52

> Есть более современая замена Vlang переводит си в V (голанг подобный).
Его что, за 3 месяца резко перевели из разряда "препрепрепреальфа и много мыслей, что должно быть в зашибись языке!" в реальность?

Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

51. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Anonymoustus (ok), 07-Сен-19, 06:56

> Можно попробовать сконвертировать и на Go: https://github.com/elliotchance/c2go
Да, идея, в целом, именно такая: получится ли конвертировать сишные исходники во что-то более безопасное и собрать без потери функциональности и скорости бинарника.

Ответить | Правка | ^ к родителю #45 | Наверх | Cообщить модератору

72. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от None (??), 07-Сен-19, 18:20

Не очень понятно, зачем почтовому демону вытаскивать бекслэши из строк где-либо помимо функции чтения конфига.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

76. "Раскрыты подробности критической уязвимости в Exim" –2 +/–

Сообщение от Аноним (76), 07-Сен-19, 21:20

Для выполнения парсером любого кода как обговорено разработчиками с ЦРУ и АНБ.

Ответить | Правка | ^ к родителю #72 | Наверх | Cообщить модератору

74. "Раскрыты подробности критической уязвимости в Exim" –2 +/–

Сообщение от Аноним (74), 07-Сен-19, 20:15

>В качестве обходного пути для блокирования уязвимости можно отключить поддержку TLS или добавить в секцию ACL "acl_smtp_mail"
Спасибо что не сказали об этом сразу, а поквасили пару недель в ожидании исправления под nda. Мы ведь верим, что инфа, доведенная до мейнтейнеров дистрибутивов раньше огласки в паблике никуда не утечет.
Господи, какие же у5б*н#.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

97. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от пох. (?), 09-Сен-19, 12:54

> Спасибо что не сказали об этом сразу, а поквасили пару недель в
> ожидании исправления под nda. Мы ведь верим, что инфа, доведенная до
тебя тутошние вопли страдальцев с epel ничему не научили?
> мейнтейнеров дистрибутивов раньше огласки в паблике никуда не утечет.
мы верим что ущерб от нее будет в разы меньше, чем от публикации рецепта, позволяющего легко вычислить саму уязвимость, при наличии миллиона доступных серверов в интернете. Потому что менять конфиги вы не умеете, как и пересобирать пакеты своими силами. Ан масс. А спам - явление массовое.

Ответить | Правка | ^ к родителю #74 | Наверх | Cообщить модератору

77. "Раскрыты подробности критической уязвимости в Exim" –2 +/–

Сообщение от Michael Shigorin (ok), 07-Сен-19, 21:29

> переменная с адресом отравителя
Предложил правку, но вообще новость в таком изложении звучит как-то даже прям иначе...

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

80. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от Аноним (82), 08-Сен-19, 04:27

В EPEL до сих пор нет нового Exim
Все так называемые ентерпрайс системы типа CentOS уязвимы
И стоит ли после этого в продакшин использовать из?)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

83. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от Аноним (83), 08-Сен-19, 09:31

А какое отношение Centos имеет к EPEL? Это васянский сторонний репозиторий.

Ответить | Правка | ^ к родителю #80 | Наверх | Cообщить модератору

87. "Раскрыты подробности критической уязвимости в Exim" +1 +/–

Сообщение от Аноним (82), 08-Сен-19, 12:15

Именно поэтому надо ставить нормальный дистрибутив, а не центось и потом обмазываться васяно-репозиториями и орать про стабильность

Ответить | Правка | ^ к родителю #83 | Наверх | Cообщить модератору

104. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (60), 09-Сен-19, 14:14

> EPEL? Это васянский сторонний репозиторий.
Не васянский, а федорастический. Что не лень федоромайнтайнерам лишний раз собрать, то туда и пихают, не заботясь о качестве.

Ответить | Правка | ^ к родителю #83 | Наверх | Cообщить модератору

90. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (90), 09-Сен-19, 09:19

Если sni не используется имеет смысл включать?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

91. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Аноним (90), 09-Сен-19, 09:42

failed to expand ACL string "${if eq{\\}{${substr{-1}{1}{$tls_in_sni}}}}": unknown variable name "tls_in_sni"
Хм, я опять в пролете?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

108. "Раскрыты подробности критической уязвимости в Exim" +/–

Сообщение от Anonimus (??), 29-Сен-19, 12:21

CVE-2019-16928
Шо, опять ?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

2. "Раскрыты подробности критической уязвимости в Exim"	+6 +/–
Сообщение от KaE (ok), 06-Сен-19, 20:28
Ну и напоследок... компания Qualys и разработчики Exim в очередной раз желают всем приятных выходных!
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	49. "Раскрыты подробности критической уязвимости в Exim"	+1 +/–
	Сообщение от fail (?), 07-Сен-19, 05:53
	>Ну и напоследок... компания Qualys и разработчики Exim в очередной раз желают всем приятных выходных! Вспомнился старый анекдот: Понедельник, утро, семейный очаг, благоверная дежурит со спец. ср-вами, заползает добытчик шкур мамонтов, диалог: - ты где был ? - в эту праздничную ночь, с четверга на понедельник мы отмечали ДР кореша ! Занавес
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору

3. "Раскрыты подробности критической уязвимости в Exim"	+20 +/–
Сообщение от Аноним (3), 06-Сен-19, 20:53
> RHEL и CentOS проблеме не подвержены, так как Exim не входит в их штатный репозиторий пакето ГЕНИАЛЬНО!
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	4. "Раскрыты подробности критической уязвимости в Exim"	+13 +/–
	Сообщение от Аноним (4), 06-Сен-19, 21:11
	Кстати это реально работает. Я не подвержен уязвиомостям виндоус, потому что не ставил её себе.
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	5. "Раскрыты подробности критической уязвимости в Exim"	+3 +/–
	Сообщение от suffix (ok), 06-Сен-19, 21:30
	Да ладно Вам - в этом году всего три у exim и одна у dovecot критические уязвимости - главное новости этого сайта читать и обновляться вовремя. Всё равно exim + dovecot лучше чем гугл-почта и дешевле чем эксчендж.
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	13. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от robot228 (?), 06-Сен-19, 22:13
	Ещё бы придумать инструмент своевременного оповещения о выходе новых версии софта, особенно если дело касается критических исправлении. Пока к сожалению только на гитхабе по RSS все обновы ставлю. Но есть такой софт который не хостится на гитхабе и тому подобных системах.
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	16. "Раскрыты подробности критической уязвимости в Exim"	–1 +/–
	Сообщение от Аноним (16), 06-Сен-19, 22:15
	https://vulners.com/products
	Ответить \| Правка \| ^ к родителю #13 \| Наверх \| Cообщить модератору


	105. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от Аноним (105), 09-Сен-19, 22:25
	Чистая белая страница.
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору


	19. "Раскрыты подробности критической уязвимости в Exim"	–1 +/–
	Сообщение от пох. (?), 06-Сен-19, 22:22
	так придуман давно - tail /var/log/apt.log (или как он там) наивные дети, думающие что они могут уследить за всем миллионом кривых софтин установленных на всех хостах - должны же страдать еще до того, как выберутся за пределы локалхоста?
	Ответить \| Правка \| ^ к родителю #13 \| Наверх \| Cообщить модератору


	35. "Раскрыты подробности критической уязвимости в Exim"	–1 +/–
	Сообщение от robot228 (?), 06-Сен-19, 23:06
	> так придуман давно - tail /var/log/apt.log (или как он там) > наивные дети, думающие что они могут уследить за всем миллионом кривых софтин > установленных на всех хостах - должны же страдать еще до того, > как выберутся за пределы локалхоста? У тебя моцк ктухлу зохавал походу. В чс добавил. Запарил всякую фигню нести.
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору


	52. "Раскрыты подробности критической уязвимости в Exim"	–2 +/–
	Сообщение от . (?), 07-Сен-19, 08:19
	очередное детишко обиделось? ну ладно, пусть больше не читает - а то ж разрушают ему розовый маня-мирок, где оно может вовремя и хоть с какой пользой (учитывая типовое жданье ебилдов) отслеживать все-все-все уязвимости во всем-всем-всем что понаустанавливало...или точнее поустанавливали за него умные дяди без спросу. И конечно же о каждой уязвимости обязательно сообщают через специальные мэйллисты и модный слак, а не молча выпускают новую версию без лишнего ажиотажа, главное только найти в лесу этот волшебный цветочек...то есть мэйллист.
	Ответить \| Правка \| ^ к родителю #35 \| Наверх \| Cообщить модератору


	63. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от Аноним (63), 07-Сен-19, 12:56
	Пох, а терминация TLS для почтового трафика на реверсном прокси насколько удачное решение, и почему? Спасибо.
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору


	99. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от пох. (?), 09-Сен-19, 12:59
	> Пох, а терминация TLS для почтового трафика на реверсном прокси насколько удачное > решение, и почему? Спасибо. две точки отказа вместо одной и два уязвимых сервиса вместо одного, ну я хз. нет, если под "proxy" ты подразумеваешь какой-нибудь ironport - то, конечно, работает - в смысле, за его интерфейсом tls и не особо нужен, и никакими неприятностями если и есть, не грозит. Он и еще от статыщ болезней помогает, только стоит, гад, неприличных денег, купите два и заплатите всего-навсего вдвое больше! И настраивать неудобно, как и у всех энтерпрайзных поделок. А самому из дерьма и палок лепить - зачем?
	Ответить \| Правка \| ^ к родителю #63 \| Наверх \| Cообщить модератору


	24. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от KonstantinB (ok), 06-Сен-19, 22:29
	На https://www.cvedetails.com/ есть кастомизируемый RSS.
	Ответить \| Правка \| ^ к родителю #13 \| Наверх \| Cообщить модератору


	40. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от Аноним (40), 07-Сен-19, 00:20
	Через 4 года тут будет город сад... (с) https://www.cvedetails.com/cve-details.php?cve_id=CVE-2019-1... Unknown CVE ID Нет, конечно, дней через несколько оно там появится, но не сегодня.. Но ремотный рут это такая штука, о которой через неделю узнать может оказаться поздно. (даже если не рут, а просто пользователь от которого работает почтовка.. это обычно все, что и есть на сервере. Уж мейнить и спамить - 100% хватит.)
	Ответить \| Правка \| ^ к родителю #24 \| Наверх \| Cообщить модератору


	43. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от Тройной (?), 07-Сен-19, 03:15
	https://www.openwall.com/lists/oss-security/
	Ответить \| Правка \| ^ к родителю #24 \| Наверх \| Cообщить модератору


	60. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от Аноним (60), 07-Сен-19, 10:24
	> Ещё бы придумать инструмент своевременного оповещения о выходе новых версии софта, особенно если дело касается критических исправлении. А лучше, чтобы этот инструмент сам же эти критические обноления и ставил… Хотя погоди! https://wiki.debian.org/UnattendedUpgrades https://dnf.readthedocs.io/en/latest/automatic.html
	Ответить \| Правка \| ^ к родителю #13 \| Наверх \| Cообщить модератору


	71. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от OpenEcho (?), 07-Сен-19, 17:10
	https://www.itsecdb.com/oval/
	Ответить \| Правка \| ^ к родителю #13 \| Наверх \| Cообщить модератору


	42. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от Аноним (42), 07-Сен-19, 01:10
	Иногда тяжело отличать сарказм и не сарказм.
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	58. "Раскрыты подробности критической уязвимости в Exim"	+1 +/–
	Сообщение от BrainFucker (ok), 07-Сен-19, 09:02
	> Всё равно exim + dovecot лучше чем Есть Postfix, если что.
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	59. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от Аноним (60), 07-Сен-19, 10:16
	> главное новости этого сайта читать и обновляться вовремя. Да-да, уязвимости, о которых тут не пишут, они ведь не существуют. И ты ведь 24/7 онлайн, чтобы вовремя прочитать новость и накатить обнову на свой сервачок, не так ли?
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	62. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от suffix (ok), 07-Сен-19, 10:55
	Конечно 24/7 - а как же иначе гордо нести высокое звание постмастера :) ?
	Ответить \| Правка \| ^ к родителю #59 \| Наверх \| Cообщить модератору


	64. "Раскрыты подробности критической уязвимости в Exim"	+1 +/–
	Сообщение от Аноним (63), 07-Сен-19, 12:59
	У многих современных постмастеров даже такого алиаса нет. Какой уж тут 24/7.
	Ответить \| Правка \| ^ к родителю #62 \| Наверх \| Cообщить модератору


	100. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от пох. (?), 09-Сен-19, 13:00
	> У многих современных постмастеров даже такого алиаса нет. Какой уж тут 24/7. afair, в б-жественной бубунточке я видел /etc/aliases длиной ноль байт. Ну а чо, кому надо - напишет свои же ж?
	Ответить \| Правка \| ^ к родителю #64 \| Наверх \| Cообщить модератору


	9. "Раскрыты подробности критической уязвимости в Exim"	–3 +/–
	Сообщение от пох. (?), 06-Сен-19, 21:59
	epel, кстати, обновился - удивительно, и необычно для них, не прощелкали.
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	10. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от Аноним (16), 06-Сен-19, 22:02
	То то пишут бред, не обновились они. Так что пох и нах
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	12. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от пох. (?), 06-Сен-19, 22:08
	да, зря я за них радовался - не туда глянул. "там" все как обычно - 4.92.1 ну ничего, через недельку отдуплятся и поток спама с гуаноvps начнет снижаться.
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	82. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от Аноним (82), 08-Сен-19, 04:29
	До сих пор не обновился Дырявый ентерпрайс Счастлив от того что у меня Ubuntu, реально, все апдейты вчера поставились
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	85. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от Аноним (40), 08-Сен-19, 10:37
	Уже... (сен 8 05:04 + время на синк по зеркалам)
	Ответить \| Правка \| ^ к родителю #82 \| Наверх \| Cообщить модератору


	92. "Раскрыты подробности критической уязвимости в Exim"	+/–
	Сообщение от пох. (?), 09-Сен-19, 12:35
	> Уже... (сен 8 05:04 + время на синк по зеркалам) че-та поторопились, эксплойт видимо никто так толком и не выпустил - доля спама с exim'ов нифига не изменилась, обычный всплеск в ночь с пятницы на понедельник.
	Ответить \| Правка \| ^ к родителю #85 \| Наверх \| Cообщить модератору