Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Критическая уязвимость в Exim, позволяющая выполнить код на ..."	+/–
Сообщение от opennews (??), 06-Июн-19, 14:18
В почтовом сервере Exim выявлена (https://www.openwall.com/lists/oss-security/2019/06/05/4) критическая уязвимость (http://www.exim.org/static/doc/security/CVE-2019-10149.txt) (CVE-2019-10149 (https://security-tracker.debian.org/tracker/CVE-2019-10149)), которая может привести к удалённому выполнению кода на сервере с правами root  при обработке специально оформленного запроса. Возможность эксплуатации проблемы отмечена в версиях с 4.87 по 4.91 включительно или при сборке с  опцией EXPERIMENTAL_EVENT. В конфигурации по умолчанию атака может быть совершена без лишних усложнений локальным пользователем, так как применяется ACL "verify = recipient", выполняющий дополнительные проверки для внешних адресов. Совершение удалённой атаки возможно  при изменении настроек,  например, при работе в роли вторичного MX для другого домена, удалении ACL "verify = recipient" или определённых изменениях в local_part_suffix). Удалённая атака также возможна если злоумышленник сможет удержать соединение с сервером открытым в течение 7 дней (например, отправляя по одному байту в минуту для обхода обрыва по таймауту). При этом не исключается, что для удалённой эксплуатации проблемы существуют и более простые векторы атаки. Уязвимость вызвана некорректной проверкой адреса получателя в функции deliver_message(), определённой в файле /src/deliver.c. Через манипуляцию с форматированием адреса атакующий может добиться подстановки своих данных в аргументы команды, вызываемой через функцию execv() с правами root. Для эксплуатации не требуется применение сложных техник, используемых при переполнениях буфера или повреждении памяти, достаточно просто подстановки символов. Проблема связана с применением для преобразования адресов конструкции:          deliver_localpart = expand_string(                        string_sprintf("${local_part:%s}", new->address));          deliver_domain =    expand_string(                        string_sprintf("${domain:%s}", new->address)); Функция expand_string() является переусложнённым комбайном, в том числе распознающим команду "${run{команда аргументы}", приводящую к запуску внешнего обработчика. Таким образом, для атаки  в рамках SMTP-сеанса локальному пользователю  достаточно передать команду вида 'RCPT TO "username+${run{...}}@localhost"', где localhost один из хостов из списка local_domains, а username имя существующего локального пользователя. Если сервер работает в качестве почтового релея достаточно удалённо отправить команду 'RCPT TO "${run{...}}@relaydomain.com"', где relaydomain.com один из хостов, перечисленных в секции настроек relay_to_domains. Так как по умолчанию в exim не применяется режим сброса привилегий (deliver_drop_privilege = false), переданные через "${run{...}}" команды будут выполнены с правами root. Примечательно, что уязвимость была устранена (https://github.com/Exim/exim/commit/7ea1237c783e380d7bdb86c9... в вышедшем в феврале выпуске 4.92 без акцентирования внимания на то, что исправление может привести к проблемам с безопасностью. Нет оснований полагать, что имело место осознанное сокрытие уязвимости разработчиками Exim, так как проблема была устранена в ходе исправления (https://bugs.exim.org/show_bug.cgi?id=2310) сбоя , возникающего при передаче некорректных адресов,  а уязвимость была выявлена компанией Qualys при проведении аудита изменений в Exim. Исправление для прошлых версий, которые продолжают применяться в дистрибутивах, пока доступно только в виде патча (https://git.exim.org/exim.git/commit/d740d2111f189760593a303.... Корректирующие выпуски для прошлых веток с устранением проблемы запланированы на 11 июня. Обновления пакетов подготовлены для Debian (https://security-tracker.debian.org/tracker/CVE-2019-10149),... (https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2... openSUSE (https://bugzilla.novell.com/show_bug.cgi?id=CVE-2019-10149). Arch Linux (https://www.archlinux.org/packages/community/x86_64/exim/) и Fedora (https://bodhi.fedoraproject.org/updates/FEDORA-2019-7b741dcaa4) поставляют версию 4.92, в которой проблема не проявляется. RHEL и CentOS проблеме не подвержены (https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-10149), так как Exim не входит в их штатный репозиторий пакетов. URL: https://lists.exim.org/lurker/message/20190605.151853.84c1a7... Новость: https://www.opennet.ru/opennews/art.shtml?num=50819
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

2. Сообщение от Аноним (2), 06-Июн-19, 14:29	–5 +/–
закладка
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #14, #28

3. Сообщение от Аноним (3), 06-Июн-19, 14:30	+/–
Exim работает от имени root?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #4, #5, #8, #57

4. Сообщение от Аноним (4), 06-Июн-19, 14:44	+20 +/–
Именем Рут, помещаю это сообщение в исходящую очередь!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

5. Сообщение от Your Anonymous (?), 06-Июн-19, 14:53	+2 +/–
В дебиан и убунту от debian-exim пользователя, по идее.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

6. Сообщение от Аноним (6), 06-Июн-19, 15:09	+13 +/–
Новая услуга: "Настрока серверов через SMTP. Очень дорого!"
Ответить | Правка | Наверх | Cообщить модератору

7. Сообщение от Michael Shigorin (ok), 06-Июн-19, 15:10	+1 +/–
Шо, опять?! (ц)
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #10, #13, #27

8. Сообщение от Moomintroll (ok), 06-Июн-19, 15:39	+1 +/–
> Exim работает от имени root? Обычно - да, от root. И тому есть объективные причины - это нужно для поддержки Maildir в пользовательских хомяках, а так же для чтения пользовательских настроек редиректов и даже для доставки в /var/mail/<username>. Но, поскольку уже давно почтовые серверы (включая exim) практически не используются для доставки почты локальным пользователям напрямую, а используются LDA от CyrusIMAP/Docvecot/etc, то можно запускать с правами непривилегированного пользователя. Так и делаю. Единственный момент - setcap cap_net_bind_service=+ep /path/to/exim/binary - для возможности слушать почтовые порты. P.S. На всякий случай создаю для локальных пользователей mailbox'ы в /var/mail/ с правами записи для группы пользователя exim'а. P.P.S. Знаю, вместо этого правильно указывать алиасы с реальными почтовыми ящиками, но... пусть будет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #9, #11, #25

9. Сообщение от пох. (?), 06-Июн-19, 15:44	–11 +/–
> Обычно - да, от root. И тому есть объективные причины одна: это юникс-программа (не путайте с вашим "новым стандартом") а там есть только один привиллегированный пользователь, от которого и работают большинство системных демонов. кому не нравится - вон есть прекрасная windows. И, кстати, exchange.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #12, #15, #19, #21, #36

10. Сообщение от grsec (ok), 06-Июн-19, 15:46	+/–
Опередил)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

11. Сообщение от Sw00p aka Jerom (?), 06-Июн-19, 15:54	+/–
>Обычно - да, от root. И тому есть объективные причины - это нужно для поддержки Maildir в пользовательских хомяках, а так же для чтения пользовательских настроек редиректов и даже для доставки в /var/mail/<username>. у Dovecot такая же история, но как обычно на почтовых серверах нет понятия "пользовательских хомяках", для того же dovecot юзается один uid/gid для всех виртуальных юзеров.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #16

12. Сообщение от Sw00p aka Jerom (?), 06-Июн-19, 15:55	+/–
>И, кстати, exchange. в январе сего года в exchange похлеще была бага.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

13. Сообщение от Аноним (15), 06-Июн-19, 16:09	–1 +/–
Понятно почему, из тройки MTA второго поколения, самый кривой архитектурно...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

14. Сообщение от Аноним (14), 06-Июн-19, 16:12	+/–
бритва хенлона
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #31

15. Сообщение от Аноним (15), 06-Июн-19, 16:16	+/–
>одна: это юникс-программа (не путайте с вашим "новым стандартом") а там есть только один привиллегированный пользователь, от которого и работают большинство системных демонов. угу, и как правило кривосторонне-архитектурных..
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #29

16. Сообщение от Аноним (15), 06-Июн-19, 16:49	+1 +/–
>у Dovecot такая же история, но как обычно на почтовых серверах нет понятия "пользовательских хомяках" есть, нo как говорится разрабы (LDA Dovecot) так решили архитектурно: или нить на сессию, или процесс на сессию для MUA >для того же dovecot юзается один uid/gid для всех виртуальных юзеров. ... и т.е. потенциальная проблема для всех "почтовых хомякофф" - см. выбор дизайнa из пункта выше
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #17, #18

17. Сообщение от Sw00p aka Jerom (?), 06-Июн-19, 16:55	+/–
> ... и т.е. потенциальная проблема для всех "почтовых хомякофф" - см. выбор > дизайнa из пункта выше а вот тут, про проблему по подробнее пожалуйста
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

18. Сообщение от Sw00p aka Jerom (?), 06-Июн-19, 16:58	+/–
>выбор дизайнa из пункта выше Ну смотрите, ради "безопасности" разделяем всех юзеров на uid/gid, но при этом рабочему процессу даем рута, и на оборот, не даем рута рабочему процессу, но при этом все юзеры под одним uid/gid. Так вот вопрос, что рискованней по мащему мнению?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #23

19. Сообщение от Аноним (19), 06-Июн-19, 16:58	–4 +/–
Только Zimbra. Аптайм 768 дней.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #47

20. Сообщение от xm (ok), 06-Июн-19, 17:23	–1 +/–
> уязвимость была устранена в вышедшем в феврале выпуске 4.92 Очередной привет любителям некрософта и принципа "работает - не трожь".
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #26, #30, #59, #71

21. Сообщение от жека воробьев (?), 06-Июн-19, 17:39	+1 +/–
Именно сейчас сношаю эксчендж, потому что при установке секьюрити фикса оно не смогло установиться и корректно откатиться тоже не смогло. Ну там еще пометило все службы эксчендж как выключенные и не включило назад. Чтобы патч все же накатить надо засунуть вглубь систем32 повершел скрипт с переопределением стандартных командлетов и после этого апдейт запустится. Суровый энтерпрайз за деньги
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #22

22. Сообщение от Ваш Анонимус (?), 06-Июн-19, 18:17	+8 +/–
Ты так рассказываешь, как будто эксчендж тебя сношает, а пишешь, что ты его.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #24

23. Сообщение от Аноним (15), 06-Июн-19, 18:25	–1 +/–
Попытаюсь раскрыть, если не подводит память и не было новаторства - на ID posix нити нельзя вызвать setuid(), setguid() + плюс банальныe ограничения по CPU, RAM, и прочих ресурсов - т.е. выбор. >Ну смотрите, ради "безопасности" разделяем всех юзеров на uid/gid, но при этом рабочему процессу даем рута, и на оборот, не даем рута рабочему процессу, но при этом все юзеры под одним uid/gid. ИМО 2 однозначно, обясню почему: в правильной архитектуре рут нужен только для "инициализации" - системной и сеансовой, никакой записи ему не должно быть положено и точка ! ---------- рекомендую глянуть файлы qmail-start.c и qmail-lspawn.c если разбрасывать локально из уже дoстaвленной очереди сообшений на серваке, пример псевдо из кода qmail-lspawn.c  и часть проверок пропустил: ... chdir(/HOMYAK/USVER) ... ret = fork(); if (0 == ret) {   //сброс привилегий   prot_uid(UID); //setuid();   prot_gid(GUID); //setguid();   execv*( bla-bla-bla ); } ...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #32, #65

24. Сообщение от жека воробьев (?), 06-Июн-19, 18:35	+/–
Ты прав
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

25. Сообщение от Аноним (25), 06-Июн-19, 18:40	+/–
> И тому есть объективные причины - это нужно для поддержки Maildir в пользовательских хомяках, а так же для чтения пользовательских настроек редиректов и даже для доставки в /var/mail/<username>. Это не причина, это подход "и так сойдёт...". И этот подход не в Exim, он на уровне ОС. Отдельно стоит заметить про setcap, вот что люди только не придумают, чтобы RBAC и ACL не использовать. Вон какой целый SELinux есть. Ну прикрутить к этой операционке рабочую модель аутентификации вместо PAM, прикрутить нормальную сервисную модель, прибить всё это к SELinux гвоздями, тогда хотя бы один дистрибутив  не даст запускать из-под рута всякое барахло. Примечательно, что такое простофильство в линуксе - это мрачное наследие Unix. Когда пользователь был еще и программист предполагалось, что безопасности на прикладном уровне "пользователь сам должен знать, что запускает" хватит всем. А потом компьютеры стали дешевле, появилась сеть на дешевых компьютерах и появилось понимание, что пользователь может не понимать. Забавно, что технически в линуксе есть почти всё что нужно для локальной централизованной безопасности. Однако, дистрибутива, который это всё использует сразу, заботясь о том что и пользователь, и админ и программист могут быть обмануты или их система может быть уязвима из-за ошибки, до сих пор нет. Сидим запускаем почтари от рута в 2019 или изобретаем костылики на capability... мрак.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #33, #48, #58

26. Сообщение от Аноним (27), 06-Июн-19, 19:10	+2 +/–
Ти шо оно же в контейнере секурность.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

27. Сообщение от Аноним (27), 06-Июн-19, 19:13	+1 +/–
один раз установи семь раз обнови.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

28. Сообщение от Аноним (28), 06-Июн-19, 19:32	+1 +/–
Ошибка проектирования.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

29. Сообщение от пох. (?), 06-Июн-19, 19:53	+/–
>>одна: это юникс-программа (не путайте с вашим "новым стандартом") а там есть только один >>привиллегированный пользователь, от которого и работают большинство системных демонов. > угу, и как правило кривосторонне-архитектурных.. ваш эксчендж - там выше по тредику, у него все хорошо. Примерно десяток разных ролей только чтоб запустить кластер. Не считая, разумеется, тех двух десятков что стандартные. И с архитектурой уж точно все блестяще.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #39

30. Сообщение от пох. (?), 06-Июн-19, 19:58	+/–
>> уязвимость была устранена в вышедшем в феврале выпуске 4.92 > Очередной привет любителям некрософта и принципа "работает - не трожь". про уязвимость которую, наоборот, _добавили_ этим патчем - ты узнаешь как-нибудь в другой раз. P.S. новый код, кстати, в сравнении со старым выглядит омерзительно и нечитаемо. Почему вместо этого не написана безопасная реализация  expand_string, способная работать с невалидирнованными данными - которые еще наверняка в тысяче мест так экспандятся, а нет, так будут - спросите у авторов.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #41

31. Сообщение от Аноним (31), 06-Июн-19, 20:01	+3 +/–
Анекдот про коров, одна из которых говорит другой про бритву Хенлона
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #60

32. Сообщение от пох. (?), 06-Июн-19, 20:19	+/–
> рекомендую глянуть файлы qmail-start.c и qmail-lspawn.c и никогда так не делать - типичный образец ненужной, антиюниксной, мертворожденной хни, как и абсолютно все поделки djb. он может и хороший теоретик, но почему-то все его теории сводятся к "тут все неправильно, переделать толком ничего нельзя, поэтому будет фигня". Правильной операционной системы, правильного smtp и правильного dns - почему-то так и не написал. Примерно половина спама в лучшие годы васян-мэйлеров у меня была с qmail'овых релеев. Потому что автор, внезапно, вообще не предназначал свою поделку для релеинга.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #37

33. Сообщение от пох. (?), 06-Июн-19, 20:31	+/–
> Отдельно стоит заметить про setcap, вот что люди только не придумают, чтобы RBAC и ACL не > использовать. заменяя один костылик другим > Примечательно, что такое простофильство в линуксе - это мрачное наследие Unix. я только одного не пойму - что вы все в него при этом лезете, медом вам тут что ли намазано, или какой другой субстанцией? У вас есть прекраснейшая винда. Где можно даже directory traversal bypass выключить (правда, от этого она сломается, но с MAC-selinux тоже ничего и нигде не работает) и ролевых юзеров на все случаи жизни понапридумано и еще самому можно придумать (но все равно альтернативно-одаренные разработчики требуют своим поделкам привиллегий, которых у domain admin и system вместе взятых нет) > Сидим запускаем почтари от рута в 2019 в почтовом сервере (а exim, обычно, стоит именно на таковом) НЕТ ничего ценнее почты. Как правило, кроме нее и того к чему у почтового сервера обязан быть доступ, чтобы почта ходила, там вообще ничего ценного нет и взяться неоткуда. Когда эта нехитрая мысль до вас дойдет - возвращайтесь, продолжим. Лет этак не раньше чем через 500.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #34

34. Сообщение от Аноним (34), 06-Июн-19, 20:48	–2 +/–
> Лет этак не раньше чем через 500. Вы сегодня очень устали. Иначе зачем так далеко посылать? Отдохните сегодня, а они пусть завтра снова приходят ;) Ведь не бывает программ без "дырок" и популяций без индивидуумов которым хочется "все" переделать (естественно как "лучше"), или я ошибаюсь?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33 Ответы: #43

35. Сообщение от Аноним (35), 06-Июн-19, 20:56	+1 +/–
>с 4.87 по 4.91 Хорошо сидеть на oldstable
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #38

36. Сообщение от Аноним (14), 06-Июн-19, 20:57	–1 +/–
> там есть только один привиллегированный пользователь, от которого и работают большинство системных демонов. Если ты не осилил setuid(2), это не повод экстраполировать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

37. Сообщение от Аноним (15), 06-Июн-19, 21:02	+/–
>и никогда так не делать - типичный образец ненужной, антиюниксной, мертворожденной хни, как и абсолютно все поделки djb. - REALY ? просто, лаконично и в никс стиле: ядро n-daemon (один демон - одна функция), и все аккуратно сварено pipe ; может стиль кода ? - ну таку фломастеры... - "много-деммонный" не-хлам cо схожей архитектурой - Dovecot, Postfix тоже в хню запишем ? ... поверьте в свое время плотно с сорцами Dovecot повозился >Примерно половина спама в лучшие годы васян-мэйлеров у меня была с qmail'овых релеев. Потому что автор, внезапно, вообще не предназначал свою поделку для релеинга. по логам из давней старины, такие же басни могу добавить про всю оставшуюся 2-второго поколения и шлимыл, а вспомнил ишо в 2005-6 шмугль юзал поделие djb Да и сам SMTP, с некоторымы изъянами и недоработками(для нынешнего времени).. но ничего занимаемся, допиливаем под свои нужды, а учитывая выходку одного пациента из peдмoндa по клиентy версии 7.* этой весной... ряд лиц очень расстроенные и несколько раздосадованные, каГ-бы помягшЕЕ сказать
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32 Ответы: #42

38. Сообщение от Аноним (14), 06-Июн-19, 21:02	+4 +/–
Но на postfix лучше.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35

39. Сообщение от Аноним (15), 06-Июн-19, 21:18	+1 +/–
Ы-ы, моя морда больше по qmail, пучок килограмм postfix, охапка канистр Dovecot.. a exchange - свят, свят - миловала чаша сия
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #40

40. Сообщение от пох. (?), 06-Июн-19, 22:19	–1 +/–
> Ы-ы, моя морда больше по qmail, пучок килограмм postfix, охапка канистр Dovecot.. а у меня sendmail работал в 97м (не для интернета ни разу) - и работает по сей день. В юниксе, да, там не линукс. А dovecot, когда-то казавшийся почти приличным софтом, но во второй версии радостно повернувший в "новые стандарты", выброшен на помойку. > a exchange - свят, свят - миловала чаша сия а вот exchange был уже в 96м, если не ошибаюсь. Но я не стал учиться его админить - это ж книжку надо было читать, громадную, страниц 500, а не op.me
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39

41. Сообщение от xm (ok), 06-Июн-19, 22:42	–1 +/–
Лучше иметь гипотетическую уязвимость о которой (почти) никто не знает, чем реальную о которой знают все.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #44

42. Сообщение от пох. (?), 06-Июн-19, 22:46	–2 +/–
> - REALY ? просто, лаконично и в никс стиле: ядро n-daemon (один куча мусора гадящего под себя, неумеющего пользоваться syslog ("патамушта он весь у вас неправильный") и, вишенка на тортике, в исходном авторском замысле - либо не релеящий вовсе, либо openrelay. Запускаться был предназначен, видимо, прямо из src, как у автора. (ну и world writable dir вместо suid binary, как и у поцфикса ранних версий) с кодом в общем-то все хорошо - но он и незамысловат настолько, что сложно было бы сделать плохо. > - "много-деммонный" не-хлам cо схожей архитектурой - Dovecot, Postfix тоже в хню > запишем ? безусловно. openrelay в каждом конфиге по умолчанию, вот что такое ваш поцфикс. Да, это исправляли и исправляют по сей день ВСЕ собиральщики пакетов, но сообразили они это далеко не сразу. И по сей день спам с так настроенных postfix иногда долетает (хотя вроде бы с третьих версий умолчание все же изменили на адекватное - спросите себя, на каком локалхосте стоит почтовка автора, что ему потребовалось двадцать лет на такое изменение, и зачем пользоваться его продуктом? - видимо, у кого-то есть конфиги, где вернули все как было) dovecot был почти хорош во времена версии 1 - в частности, когда я вижу что софт работает с mailbox правильно, это подтверждение квалификации его автора (поддержка только maildir - это перекладывание собственного неумения на файловую систему, ну да, ее еще хорошие программисты писали, давно правда, как и поддержка обоих но первых с потерей производительности вдвое - у нормальных людей должно получаться одинаково) к сожалению, авторы тоже свернули в "новые стандарты", и современным пользоваться мне категорически расхотелось. Один exchange у меня уже есть, неплохо работает - в своей нише. > по логам из давней старины, такие же басни могу добавить про всю > оставшуюся 2-второго поколения и шлимыл, а вспомнил ишо в 2005-6 шмугль у меня неправильные логи - sendmail там никогда не было (потому что сделать openrelay на версии  7+ - я вообще не очень знаю, как. Единственные исключения - multihop, там виноват не мэйлер а руки админа, оно точно так же на любом mta бы работало (поскольку предпоследний, обычно это антивирус или васян-спамолов, он считает доверенным внутренним хостом). exim редко, в силу его малой популярности и обслуживания в основном админами провайдеров, те умеют (но если уж лоханутся, то со страшной силой). MDaemon (по сей день находятся, умники) экзотика и винды с кривым Kerio - поболее. А вот qmail'ов - сравнимо со взломанной виндой. Только последние лет пять он, наконец-то, вытеснен взломанным php и дырками в гугле. Остальное - взломанные (спам напрямую шлет троян, а не штатный mta). Бывают и линуксы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37 Ответы: #46, #51

43. Сообщение от пох. (?), 06-Июн-19, 22:50	+/–
> Ведь не бывает программ без "дырок" и популяций без индивидуумов которым хочется > "все" переделать (естественно как "лучше"), или я ошибаюсь? должны же где-то остаться популяции, где этих улучшаек отселяют на необитаемый остров, а через месяц-два приходят осторожно прикопать останки? Ну или поздравить с победой и назначить новым вождем, если вдруг да совершат там чудо.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34

44. Сообщение от пох. (?), 06-Июн-19, 22:52	+1 +/–
> Лучше иметь гипотетическую уязвимость о которой (почти) никто не знает, чем реальную > о которой знают все. она реальная только в нереальном контексте - шеллюзеры на почтовом сервере, или очень странная настройка. И это - везение. Поэтому следующая может оказаться более удободоставаемой извне.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #56

46. Сообщение от Sw00p aka Jerom (?), 06-Июн-19, 23:59	+1 +/–
>MDaemon (по сей день находятся, умники) кажись это тот же постфикс, как и комунигейт
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

47. Сообщение от Ничоси (?), 07-Июн-19, 00:00	+1 +/–
Через 256 дней, будет юбилей - 1024 дня.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

48. Сообщение от all_glory_to_the_hypnotoad (ok), 07-Июн-19, 00:13	–1 +/–
> Это не причина, это подход "и так сойдёт...". И этот подход не в Exim, он на уровне ОС. Эта проблема только эксзима ибо он спроектирован через одно место, монолитом. Было бы как, например, в Postfix, то таких проблем не было бы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25

49. Сообщение от Аноним (49), 07-Июн-19, 01:09	+1 +/–
1. Непонятно почему root? Кто от root запускает? (или кто не умеет понижать привилегии процесса) 2. Postfix 3. > RHEL и CentOS проблеме не подвержены, так как Exim не входит в их штатный репозиторий пакетов. Это что за ухня? Автор, ты больной? Такую ахинею написал. Можно было про epel версию написать, и то было бы лучше.  Ещё бы написал windows проблеме не подвержены так как не Linux...
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #52

50. Сообщение от Гвоздь (?), 07-Июн-19, 05:46	+/–
> RHEL и CentOS проблеме не подвержены, так как Exim не входит в их штатный репозиторий пакетов. Ггг
Ответить | Правка | Наверх | Cообщить модератору

51. Сообщение от Аноним (15), 07-Июн-19, 10:30	+/–
>> - REALY ? просто, лаконично и в никс стиле: ядро n-daemon (один > куча мусора гадящего под себя, неумеющего пользоваться syslog ("патамушта он весь у  вас неправильный") и, пардон мой френч, все настраивалось и логи все находились в /var/log/{bla-bla-bla} > вишенка на тортике, в исходном авторском замысле - либо не релеящий вовсе, либо openrelay. ... все там нормально плюс издержки "СТАРОГО" SMTP > Запускаться был предназначен, видимо, прямо из src, как у автора. Ы-ы, /var/qmail/{...} ничего не говорит из дефолта ? по ходу разные дистры по разному опакеичвали, ну там тараканы были в голове у автора по лицухе, но в дальнейшем djb твердо встал на путь исправления > (ну и world writable dir вместо suid binary, как и у поцфикса ранних версий) мда, world на 4+2+1 это где, в каком звене цепочки доставки можно раскрыть, могет я что-то упустил  ? выделенный демон(процесс) со спец. UID, GUID, (etc., + на счет sticky не помню, надо в сорцы лезть) занимается постановкой в очередь сообщений SMTP из сети - если это называть world writable dir - становится страшно > когда я вижу что софт работает с mailbox правильно, это подтверждение квалификации его автора > (поддержка только maildir - это перекладывание собственного неумения на файловую систему, > ну да, ее еще хорошие программисты писали, давно правда, как и поддержка обоих но первых с потерей производительности вдвое - у нормальных людей должно получаться одинаково) ага, mbox concurency, NFS trouble(каких-то версий) - ни слухом, ни духом а так да, в тепличных условиях localhost`a mbox чье-то ффсе > к сожалению, авторы тоже свернули в "новые стандарты", и современным пользоваться мне категорически расхотелось. + авторам Dovecot за "самодеятельсть и кривjрукость" с форматом Maildir++(или как там обозвали) пожизненный эцих с гвоздями и граблями > А вот qmail'ов - сравнимо со взломанной виндой. голословно и сказать смешно, не сказать ничего > Остальное - взломанные (спам напрямую шлет троян, а не штатный mta). Бывают и линуксы. вопрос кривизны рук админов
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #53

52. Сообщение от онанимас (?), 07-Июн-19, 11:45	+/–
удваиваю, редхэт и центось ещё как подвержены, вчера проверил - рутовое выполнение кода работает, обновлений в репах нет. Installed Packages Name        : exim Arch        : x86_64 Version     : 4.91 Release     : 1.el6 Size        : 4.3 M Repo        : installed From repo   : epel epel можно считать стандартной репой, т.к. она включается командой yum install epel-release, а не пердолингом с /etc/yum/repos.d/ как в случае репозиториев от васяна.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49 Ответы: #55

53. Сообщение от пох. (?), 07-Июн-19, 13:00	–1 +/–
> пардон мой френч, все настраивалось в нормальном unix mta эти вещи не нужно настраивать - он просто использует syslog. Идущие своим другим путем - вечно создают проблемы  на пустом месте. Но вообще-то оно было изначально предназначено для daemontools, со всеми вытекающими. > .. все там нормально плюс издержки "СТАРОГО" SMTP в smtp нет обязательств релеить мусор. патч к сендмэйлу появился в 98м, когда спам начал представлять проблему. Нет, openrelay почти из коробки и нетривиальные телоджвижения для его ограничения - это не "нормально". Нормально - no relay из коробки и нетривиальные телодвижения чтобы добавить доверенные хосты - при невозможности добавить весь мир "потому что некогда разбираться, начальника спрашивает - почта мая где?!" > ага, mbox concurency, NFS trouble(каких-то версий) - ни слухом, ни духом стесняюсь спросить - и много у вас mbox'ов на nfs 3й версии? И отдельно - что, по вашему, делает файловая система в этих же самых случаях, когда у вас "mbox concurency"? (правильно, она ставит локи - только это ее внутренние локи, и вы их не видите, вам кажется что операции - атомарны. Ну так это - кажется.) А так - Володя Бутенко мерял - скорость правильно написанного кода различалась на уровне погрешности измерения (fs с тех пор стали сильно сложнее, и скорее всего скорость обработки метаинфы сильно упала). Причем он тренировался на завернутом в smtp alt.binaries.erotica.pictures.* - там был стабильный поток сисек и писек шириной больше типовых каналов тогдашних мелких провайдеров. >> А вот qmail'ов - сравнимо со взломанной виндой. > голословно и сказать смешно, не сказать ничего ! (это палец, посмейся) для меня голословно - это твое "Уменявсеработает,уостальныхкривыеруки". А вот своей собственной статистике я верю.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51 Ответы: #54

54. Сообщение от Аноним (15), 07-Июн-19, 13:47	–1 +/–
> в smtp нет обязательств релеить мусор. патч к сендмэйлу появился в 98м, > когда спам начал представлять проблему. угу, када "ппольшого пызнеса" не было, а были чинно и блохародно (сплошное MIT, НИИЧАВО, пр.) - недоработки SMTP повылазили > Нет, openrelay почти из коробки и нетривиальные телоджвижения для его ограничения - > это не "нормально". > Нормально - no relay из коробки и нетривиальные телодвижения чтобы добавить доверенные > хосты - при невозможности добавить весь мир "потому что некогда разбираться, > начальника спрашивает - почта мая где?!" ...это к архитекторам SMTP - выбираем или SIMPLE, или SERVER - така хня малята хотя в стандарте сказано SIMPLE - получите распишитесь >> ага, mbox concurency, NFS trouble(каких-то версий) - ни слухом, ни духом > стесняюсь спросить - и много у вас mbox'ов на nfs 3й версии? приходилось пересекаться, и с криворукими поделями MUA - но там да, квал. нужна, хотя бы базовая уровня разработчика СУБД > И отдельно - что, по вашему, делает файловая система в этих же > самых случаях, когда у вас "mbox concurency"? (правильно, она ставит локи > - только это ее внутренние локи, и вы их не видите, > вам кажется что операции - атомарны. Ну так это - кажется.) мне ничего не кажется, там по (maildir) идет привязка уникальности  по i-node и/или подобному и точка, локи(from user-level) на юг не впились > А так - Володя Бутенко мерял - скорость правильно написанного кода различалась > на уровне погрешности измерения (fs с тех пор стали сильно сложнее, > и скорее всего скорость обработки метаинфы сильно упала). Причем он тренировался > на завернутом в smtp alt.binaries.erotica.pictures.* - там был стабильный поток сисек > и писек шириной больше типовых каналов тогдашних мелких провайдеров. >>> А вот qmail'ов - сравнимо со взломанной виндой. >> голословно и сказать смешно, не сказать ничего > ! (это палец, посмейся) > для меня голословно - это твое "Уменявсеработает,уостальныхкривыеруки". А вот своей собственной > статистике я верю. квадратное и зеленое, у каждого своя лож.. тьфу статистика, в свою верю P.S.: предлагается продолжить партию на следующей новости по mail services ?!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53

55. Сообщение от привет (?), 07-Июн-19, 17:51	–1 +/–
Как проверили? Можно полный smtp диалог? у меня куча екзимов и произвести не получилось, отаваливается на фазе провери формата емейла
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52

56. Сообщение от xm (ok), 07-Июн-19, 20:32	+/–
Если конкретно эта то да. Events мало кто в Exim использует.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44

57. Сообщение от Аноним (58), 08-Июн-19, 10:37	+/–
Работает во имя рута.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

58. Сообщение от Аноним (58), 08-Июн-19, 10:54	–1 +/–
Где-то это уже было. "Мрачное наследие" СССР всё долбят и долбят десталинизациями, а лучше почему-то не становится. Линукс возник как клон Юникс и существует благодаря постоянным заимствованиям из него. Короче, нечего на других пенять, коли у самого рожа крива. Не можешь сделать - не отсвечивай. Жалкие оправдания, что виноват кто-то другой 30 лет назад лучше оставь себе.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25

59. Сообщение от Аноним (58), 08-Июн-19, 10:59	+/–
Не понятно к чему тут такие странные приветы. Но это видимо была ирония и ты хотельрассказать всему свету что уд ты-то не такой. Расскажи подробней, что такое ты целыми днями трогаешь, что считаешь, будто этот принцип к тебе не применим?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

60. Сообщение от Аноним (60), 09-Июн-19, 21:45	+1 +/–
Еще один дурацкий комментарий.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

61. Сообщение от Аноним473647 (?), 10-Июн-19, 09:37	+1 +/–
в EPEL Exim наконец обновится до 4.92 (спустя 3 месяца после того как вышла версия) В итоге все CentOS + Exim до сегодняшнего дня уязвимы. Погововаривают, что идет массовый взлом серверов, в частности на ISPmanager (для этой панели стандартная ОС это CentOS7 + exim из epel) Проверьте свой root crontab, вирус сидит в нем
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #62, #68

62. Сообщение от Anon23423423423423 (?), 10-Июн-19, 16:51	+/–
Как вычистили?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61 Ответы: #63

63. Сообщение от Аноним (63), 10-Июн-19, 17:38	+3 +/–
Мой сервер с ISPmanager тоже взломали, почистил задания в cron, в /etc/rc.local, был заменен бинарник curl, вроде пока чисто Я понять не могу похоже это майнер или что-то подобное заливают
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #62 Ответы: #64

64. Сообщение от DenniMello (?), 10-Июн-19, 18:23	+/–
Как вы почистили cron? После удаления, опять создается процесс. Втроем справиться не можем.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63 Ответы: #66, #67

65. Сообщение от Анкх (?), 10-Июн-19, 18:58	+/–
Ну дак exim при доставке письма транспортом так и делает. Реально он пишет в почтовый ящик под правами юзера.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

66. Сообщение от Аноним (66), 10-Июн-19, 20:18	+/–
https://pastebin.com/LWG525zS посмотрите на пути
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64

67. Сообщение от Ананим422356 (?), 11-Июн-19, 02:22	+1 +/–
Лечение вируса https://habr.com/ru/company/first/blog/455636/
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64

68. Сообщение от Аноним (68), 11-Июн-19, 14:32	–1 +/–
Так и надо идиотам, у которых exim от рута работает.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61

69. Сообщение от Аноним (69), 12-Июн-19, 08:48	+/–
как обновить exim в CentOS 6?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #70

70. Сообщение от Анонимный эксперт (?), 12-Июн-19, 13:26	+/–
yum install epel-release yum --enablerepo=epel-testing install exim exim --version
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69

71. Сообщение от eksim (?), 13-Июн-19, 15:03	+/–
Ну, например версия 4.84.2-2+deb8u5 никогда и не была уязвима, в отличие от более новых версиях, которые таскали CVE-2019-10149 ещё с 2016 ;)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

72. Сообщение от Аноним (72), 16-Июн-19, 20:53	+/–
ежели версия древнее чем 4.87, выдыхаем?
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема