Bezpecnostni dira v Sendmailu 8.8.3 a 8.8.4

[Dan Lukes]

Je mi mozna souzeno, byt poslem spatnych zprav o sendmailu v teto
konferenci ...

Upozornuji spravce vsech stroji pouzivajicich sendmail verze 8.8.3/8.8.4,
ze podle sdeleni autora obsahuji tyto verze bezpecnostni chybu umoznujici
prunik libovolneho uzivatele (vcetne *remote*) na uroven "root".

Pokud z nejakeho duvodu nemuzete sendmail okamzite reinstalovat, je
prinejmensim velmi vhodne okamzite odstranit flag "9" z definice lokalnich
maileru v sendmail.cf (pripadne downgrade na verzi 8.8.2, kterou mohli
prorazit jen lokalni uzivatele :-) )

Veskere v teto chvili zname podrobnosti viz originalni zprava:
news:5c35rb%244vb at mserv1.dl.ac.uk

Zdrojaky noveho sendmailu muzete nalezti na originalnich mistech

ftp://ftp.sendmail.org/pub/sendmail/sendmail.8.8.5.tar.gz
ftp://ftp.cs.berkeley.edu/ucb/src/sendmail/sendmail.8.8.5.tar.gz

a pokud to radeji nekde bliz tak i na:

ftp://ftp.kolej.mff.cuni.cz/pub/unix/sendmail.8.8.5.tar.gz
http://www.kolej.mff.cuni.cz/ftp/pub/unix/sendmail.8.8.5.tar.gz

a predpokladam, ze zanedlouho i na dalsich obvyklych FTP serverech
(telnet://parker@parker.vslib.cz vam rad poradi ...)

Snad vas trochu utesi, ze na zdejsim FreeBSD stacilo jen zkompilovat zdrojaky
bez jakekoliv konfigurace, automaticky nainstalovat a restartovat daemona.
Upgrade 6ti stroju celkem (vcetne pritazeni zdrojaku) pul hodiny ...

                                            Mejte se pekne ...

                                                    Dan

Dan Lukes, Patkova 3/B1206, Praha 8, Czech Republic
tel +42-(2)-8551040 ext 776, E-Mail: dan at obluda.kolej.mff.cuni.cz,
aka: LUKES(or Postmaster)@Menza.MFF.CUNI.CZ and others