forum.opennet.ru

"Уязвимости в OpenSMTPD, позволяющие удалённо и локально полу..."

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Заметили полезную информацию ? Пожалуйста добавьте в FAQ на WIKI.

. "Уязвимости в OpenSMTPD, позволяющие удалённо и локально полу..."	+1 +/–
Сообщение от evkogan (?), 25-Фев-20, 11:01
qmail никогда не был безопасным. Могу обосновать. Мне уже скоро 20 лет назад достался по наследству сервер с этим поделием. Он совершенно безопасен в базе, но только по тому что не умеет ничего. Кстати вот он был бы хорошим кандидатом на локальный почтовый сервер по умолчанию. Только письма от локальных систем руту слать, ну или админу на нормальную почту, через свой полноценный сервер. А чтобы сделать с этим безобразием хоть что-то реальное на шлюзе, ну вообще хоть что-то надо его патчить. И вот тут начинается треш. Потому что никто те патчи на безопасность уже не проверял и на их сочетание между собой тоже. Нет Вы конечно можете все сами сделать, но только тогда надо форкать qmail и начинать пилить полноценный почтовый сервер. А так вся безопасность в том что никто не знает что Вы там и как накомпиляли и если нет задачи сломать именно Вас, то ни одна бот система уязвимость в Вашем сервере просто по версии почтового сервера не найдет. в общем он минималистичный, пригодный только для самых простых конфигураций и в таком состоянии вполне хорош. Но если Вам вдруг завтра понадобится выйти на полшага за пределы минималистичной конфигурации, то можете начинать настраивать postfix или exim. патчить это безобразие категорически не советую. Это менее безопасно и ни разу не быстрее чем поставить и настроить что-то другое.
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

Уязвимости в OpenSMTPD, позволяющие удалённо и локально полу..., opennews, 24-Фев-20, 23:46 [смотреть все]

понятно обратно на postfix , Аноним, 24-Фев-20, 23:46 (1) //
- Так так так, что тут у нас, а The Postfix implementation uses safe subsets of th, uberHacker, 25-Фев-20, 00:57 (12) //
  - смузи не пролей, заминированный тапок, 25-Фев-20, 08:35 (28)
- При всём уважении к разработчикам OpenSMTPD, если бы у меня в продакшене уже был, Дон Ягон, 25-Фев-20, 03:44 (21) //
  - За тем, что конфигурация OpenSMTPD на порядке проще и удобней в общем ключе конф, zurapa, 25-Фев-20, 09:08 (34) //
    - конфигурация OpenSMTPD на порядке проще и удобней вы не эстет, Отправить бы те, лютый жабби, 25-Фев-20, 09:57 (44)
      - имеется ввиду этоhttps www opensmtpd org presentations asiabsdcon2013-smtpd s, б.б., 25-Фев-20, 09:59 (46)
        
        Да Да Да Точно Благодарю за иллюстрацию Это шедевр , zurapa, 25-Фев-20, 13:15 (89)
      - настройка sendmail если его вообще надо зачем-то настраивать на васян-хосте , пох., 25-Фев-20, 10:11 (47)
        
        Если все что Вам надо в sendmaill - это настроить отправку писем от локальных се, evkogan, 25-Фев-20, 10:36 (54)
        
        а что там сложного мейлертейбл раскоментировать добавить, отредактировать там р, привет, 25-Фев-20, 10:46 (59)
        
        Для простой конфигурации да, ничего сложного А вот не лезть, тут вся соль Хотя , evkogan, 25-Фев-20, 11:07 (63)
        в тех версиях, что идут в актуальных дистрибутивах у меня, понятно, ни малейшег, пох., 25-Фев-20, 12:18 (71)
        Не порите чушь,ей больно В постфиксе опенрелей никогда не был разрешен по умолча, Аноним, 25-Фев-20, 12:46 (77)
        Кстати сказать, в моем sendmail mc для почтового шлюза на несколько доменов осмы, 2Lazy, 25-Фев-20, 17:47 (130)
        
        чорт, у меня 99 - И это не считая того, что в LOCAL_RULESETS только какой-то ст, пох., 25-Фев-20, 20:30 (140)
        
        тоже ничего особенного - использую Перенести весь трэш, накопившийся там за три, пох., 25-Фев-20, 12:34 (75)
        
        Ты postfix изучил по комментам здешних гуру Или openrelay для тебя просто мод, Аноним, 25-Фев-20, 13:04 (84)
        
        перепись местных дурачков 18 лет работает , про дыру - не в курсе А можете спи, пох., 25-Фев-20, 13:27 (93)
        
        127 0 0 0 8, Аноним, 25-Фев-20, 14:45 (114)
        
        а, блин, беру свои слова назад - установленный на не воткнутый в сеть хост поцфи, пох., 25-Фев-20, 15:57 (120)
        
        по дефолту во всех дистрибах постфикс не релеит, если ты чего-то там включил, ды, лютый жабби__, 25-Фев-20, 18:04 (132)
        да, да, васян зуб дает - он во всех дистрибах лично проверил, тыщах их По _дефол, пох., 25-Фев-20, 18:33 (134)
        
        Прекращайте вешать ярлыки вообще и необоснованные в частности В RHEL 4 5 7 верси, evkogan, 25-Фев-20, 18:02 (131)
        
        из какой еще коробки С конфигами, настроенными за тебя Да, не опен Ну так э, пох., 25-Фев-20, 18:52 (135)
        
        Когда последний раз работал с sendmail, конфиг там был вовсе не 5 строчек А там, anonymous, 25-Фев-20, 11:33 (66)
        
        там еще куча си файлов - их ты тоже каждый раз лезешь ковырять И что характер, пох., 25-Фев-20, 12:23 (74)
      - А вот это уже извращением попахивает За что вы так со мной А вообще да, надо бы, zurapa, 25-Фев-20, 13:13 (88)
      - Кстати сказать, я всю дорогу живу на сендмейле и даже худо-бедно могу разобратьс, 2Lazy, 25-Фев-20, 17:37 (129)
        
        Ну, ты же, наверное, ради этого - op me когда-то прочитал Современному админу -, пох., 25-Фев-20, 18:56 (136)
    - ещё и докер приплёл постфикс старше то только докера, но похоже и тебя , лютый жабби, 25-Фев-20, 09:58 (45)
      - Благодарю Вы мне льстите Я не столь молод Хотя, если брать возваст в этой инд, zurapa, 25-Фев-20, 13:11 (86)
    - вообще то всего два - main cf и master cfpostqueue не осилил и правильно, зачем , Аноним, 26-Фев-20, 11:47 (154)
      - Я тут много оправданий придумал Но в общем ты прав Ты меня уиграл , zurapa, 27-Фев-20, 05:36 (161)
- Хватит кудахтать Уже исправлено - https ftp openbsd org pub OpenBSD patches 6, ПерлухаБратуха, 25-Фев-20, 11:53 (68)
S in BSD stands for Security , Аноним, 24-Фев-20, 23:54 (2)
При таком качестве кода OpenBSD, боюсь, что Qualys доберётся до аудита OpenSSH , Аноним, 25-Фев-20, 00:00 (3) //
- Ну а ты представь, на минуту, что твоя теория верна про качество openssh А еще , fske, 25-Фев-20, 00:20 (7) //
  - Ну так Сноуден же где-то в своих интервью говорил, что у них там в АНБ специальн, Аноним, 25-Фев-20, 00:27 (10) //
    - если бы он был только у них - я бы и спал спокойно, но, подозреваю, такой специ, пох., 25-Фев-20, 12:39 (76)
  - к сожалению, можно не представлять - его теория абсолютно верна, качество кода , пох., 25-Фев-20, 10:22 (52) //
    - Вот только нинада тут про божественный код от создателя ссш Я и оригинал смотрел, крок, 25-Фев-20, 13:32 (100)
- При каком таком , Аноним, 25-Фев-20, 00:23 (8) //
  - Ну если посмотреть на код виртуализатора, там как-то не очень в коротком куск, Аноним, 25-Фев-20, 01:41 (15)
У меня были мысли использовать опенок в микроисталяциях по принципу только сист, pin, 25-Фев-20, 00:16 (4) //
- не бывает надёжных систем, бывают плохо проаудиченные , б.б., 25-Фев-20, 08:24 (26)
- Ну и зря Весьма хорошо конфигурируется PXE boot настраивается очень просто и м, zurapa, 25-Фев-20, 09:20 (35) //
  - кстати, вопрос как запустить OpenBSD pxeboot в EFI , б.б., 25-Фев-20, 09:27 (36)
  - Так с qemu все понятно Не стоит же вопрос по безопасности openbsd vs qemu Про, pin, 25-Фев-20, 09:44 (40) //
    - Да, всё верно Бла-бла-бла Проотвечались В мусорку сарказм , zurapa, 25-Фев-20, 10:36 (55)
      - Обиделся, да Ну извини , pin, 25-Фев-20, 10:45 (58)
        
        Нет же Не обиделся Просто цепляясь к фразе безопасный и с нахождением дырки в , zurapa, 25-Фев-20, 12:58 (82)
    - Тут как бы вот ещё какая мысль возникла qemu тоже ставится с OpenBSD можно тоже, zurapa, 25-Фев-20, 13:28 (95)
      - Давай про апликейшен Хотя можно и про сеть, сетевые фичи ядра обоих систем срав, pin, 25-Фев-20, 14:40 (113)
        
        Так с этим и не поспоришь Всё верно сказал Но телефонию, почту, веб можно легк, zurapa, 25-Фев-20, 16:17 (122)
        Вот на это отдельно по вопросу отвечу Убеждение само приходит, даже не нужно ст, zurapa, 25-Фев-20, 16:38 (123)
        
        Не убедительно Сопровождая xBSD, тоже надо и с дебагером сидеть и в багзиле Оп, pin, 25-Фев-20, 17:11 (127)
        
        Я вообще к чему Я к тому, что мое желание ипользовать openbsd куда-то пропало, , pin, 25-Фев-20, 17:18 (128)
        
        В любом другом дистрибутиве не так , Аноним, 25-Фев-20, 20:18 (139)
        TTL релиза декларирован, никто не обещал какой-либо особенной поддержки после , ssh, 26-Фев-20, 01:25 (149)
        
        Суть в том, что я был готов забить на TTL с пониманием того, что openbsd не проб, pin, 26-Фев-20, 12:11 (155)
        
        Я из таких решений только MS DOS 3 х видел, без какого-либо коннективити вовсе , ssh, 26-Фев-20, 16:42 (158)
        
        ЕМНИП видел под ДОС tcp стек И кстати, какие-то кассы ну там, чеки пробивать , pin, 26-Фев-20, 20:38 (159)
        
        Как вы посчитали , zurapa, 27-Фев-20, 08:50 (162)
  - Ставиться по PXE с нужной конфигурацией умеет любой приличный линукс , Аноним, 25-Фев-20, 11:14 (65)
  - Ну вообще, козырять секурити а потом обнаружить что баг отрепорченый 5 лет назад, Аноним, 25-Фев-20, 13:10 (85) //
    - не отрепорченный хоть бы никто из НИИ им Виноградова сюда никто не заходил, , юникснуб, 25-Фев-20, 13:29 (97)
    - Экраном выше было 3, а в соседней теме 2, или примерно у вас это между 0 и 1000 , ssh, 26-Фев-20, 01:16 (147)
      - Maxime в оригинале видит от 3 до 4 проблем в том коде Так что 2 - это кто-то по, Аноним, 26-Фев-20, 12:56 (156)
  - Что не так с bhyve Недавно погонял и был впечатлен, думал пилиться еще лет 10 бу, Ананимас008, 26-Фев-20, 01:16 (148)
ППЦ , pin, 25-Фев-20, 00:18 (5) //
- Всю ночь гребли, а лодку отвязать забыли , Аноним, 25-Фев-20, 01:41 (16) //
  - да тут пять лет гребут, не приходя в сознание, похоже - а лодка вообще на берегу, пох., 25-Фев-20, 13:36 (103)
Ну чото с opensmtpd совсем хреново получилось , Ананимус, 25-Фев-20, 00:19 (6)
они что, не проверяют длину строки О_о , Аноним, 25-Фев-20, 00:26 (9) //
- Не нужно проверять длину строки, потому что это подразумевает strlen над данны, Ivan_83, 25-Фев-20, 00:46 (11) //
  - Как насчёт strnlen , Аноним, 25-Фев-20, 01:34 (13) //
    - не думал что напишу такое, но Аноним дело говорит а за strlen надо по рукам бит, leap42, 25-Фев-20, 03:01 (19)
    - в котором n размер буфера возвращаемое значение recv что вообще-то, по-моему , Аноним84701, 25-Фев-20, 13:29 (96)
    - Зачем Если что, оно примерно эквивалентно memchr buf, 0x00, buf_size - buf Е, Ivan_83, 10-Мрт-20, 17:03 (167)
  - А что если атакуюший строку в 20 гигабайт накидает Или такие подарки ловятся в , Аноним, 25-Фев-20, 01:44 (17) //
    - Благодаря наследству, чтобы узнать длину 0-terminated строки, надо сначала ее вс, КО, 25-Фев-20, 08:43 (30)
      - Ну как бы доверять тому что декларирует ремота мы всяко не можем, наследство там, Аноним, 25-Фев-20, 13:19 (91)
        
        и добавить в конец пооверрайдив последний байт буфера 0, что решает проблемы , пох., 25-Фев-20, 21:45 (142)
    - не проблема совсем вызову read передается дисриптор, указатель на буфер, размер, Аноним, 25-Фев-20, 10:11 (48)
      - Вот мне и интересно что они сделали Надуть именно read можно только если програ, Аноним, 25-Фев-20, 13:26 (92)
    - Куда накидает На приёме обычно примерно так чуть упрощённо received 0 for , Ivan_83, 10-Мрт-20, 17:01 (166)
- А как тогда делают Скорее логическая ошибка при обработке входных данных , Аноним84701, 25-Фев-20, 13:32 (99)
- У них просто хреновый парсер Делают неявные предположения, не обрабатывают всех, Аноним, 25-Фев-20, 13:34 (102) //
  - SCNR https www opennet ru opennews art shtml num 45244, Аноним84701, 25-Фев-20, 13:58 (108) //
    - А в systemd полно не просто начинающих, а вообще не начавших , Аноним, 25-Фев-20, 15:49 (119)
Мда уж Qualys - респект , Дон Ягон, 25-Фев-20, 03:41 (20) //
- Ну так себе, ну Сейчас тред посетит мр пох и сообщит, что он же говорил А ос, ssh, 25-Фев-20, 04:25 (22)
- Респектовать не только им надо Ты читал как несколько дней назад профи из NetBS, Аноним, 25-Фев-20, 10:37 (56) //
  - И в ней на порядок больше находят серьезных проблем уже после релиза , Аноним, 25-Фев-20, 12:19 (72) //
    - Не спорю И они исправляются Но если всю эту армию и возможности натравить на O, Аноним, 25-Фев-20, 13:18 (90)
      - Ну так и разработчики OpenBSD исправляются Це факт Не бачу рiзницы А это уже д, юникснуб, 25-Фев-20, 13:33 (101)
        
        Согласно техническим простыням от Макса из нетки - разработчики OpenBSD не испра, Аноним, 25-Фев-20, 14:20 (109)
      - Слушай, ты сейчас только по одному инциденту с виртуализацией OpenBSD шной говор, zurapa, 25-Фев-20, 14:47 (116)
Злорадствовать не буду, но опять как и после случая нахождения уязвимости в post, suffix, 25-Фев-20, 07:44 (23) //
- Так ре ето же Давно не новость , pin, 25-Фев-20, 09:48 (41) //
  - Не более ре ето чем любые другие МТА А хейтят именно exim массово , suffix, 25-Фев-20, 09:55 (43) //
    - Exim конечно очень удобен, тем что конфигурабилен, по этому параметру он лучше p, evkogan, 25-Фев-20, 10:49 (60)
      - 1 Я Ленина видел На PDP-11 70 на фортране зачёт сдавал 2 Согласен в ост, suffix, 25-Фев-20, 10:55 (61)
        
        Хейтят за то, что фанбои на очердную дырку отвечаю за-то вexim есть такая уника, pin, 25-Фев-20, 12:12 (69)
        
        Ну то фанбои - вменяемые люди накатывают обновление и продожают пользоваться exi, suffix, 25-Фев-20, 12:15 (70)
        
        Поэтому, если нужно, что бы все же безопасно, то postfix Нет жизни без фич - то, pin, 25-Фев-20, 12:50 (79)
        
        Чем постфикс не подходит, для поставил и забыл , evkogan, 25-Фев-20, 18:05 (133)
        
        Внутривенно IV, хаха , Ю.Т., 25-Фев-20, 23:04 (144)
    - Более И поверхность атаки менее разграничена , Аноним, 25-Фев-20, 12:21 (73)
- Про уязвимость в postfix давайте подробнее, там за всю историю только какие-то н, Аноним, 25-Фев-20, 14:47 (115) //
  - Нужные люди ещё не используют, с exim не могут пересадить , Аноним, 25-Фев-20, 20:47 (141)
  - В 2011 была как раз таки критическая уязвимость, suffix, 25-Фев-20, 23:32 (145)
как знал, всегда opensmtpd отключаю хотя данную уязвимость у меня и не поэксп, б.б., 25-Фев-20, 08:23 (24) //
- В 2011 была как раз таки критическая уязвимость , suffix, 25-Фев-20, 15:32 (118)
а нельзя сразу всё нааудитить и пачкой выложитЬ, а то каждый день - новости , б.б., 25-Фев-20, 08:24 (25) //
- Можно, я разрешаю - аудить И чтоб завтра всей пачкой выложил , Аноним, 25-Фев-20, 13:28 (94)
А кстати, наловили ли подобных вещей по пресловутому qmail Из номера 2 он превр, Ю.Т., 25-Фев-20, 08:29 (27) //
- qmail никогда не был безопасным Могу обосновать Мне уже скоро 20 лет назад дос , evkogan, 25-Фев-20, 11:01 (62) //
  - Благодарю, но я это знаю, я когда-то работал с qmail, и именно в нелокальной , Ю.Т., 25-Фев-20, 11:10 (64) //
    - Там вроде и ловить негде Да и не ловит никто, не интересно , evkogan, 25-Фев-20, 11:34 (67)
      - А когда был номер 2 после sendmail, то было-таки поинтереснее , Ю.Т., 25-Фев-20, 16:40 (125)
  - о, смотрите-ка - хоть один это понял Автор гордо заявлял что это проблема - не е, пох., 25-Фев-20, 12:49 (78) //
    - Ну так его популярность пришлась на годы, когда спам уже был, а толковых антиспа, Ю.Т., 25-Фев-20, 16:49 (126)
      - толковых не было, но релеить 0 0 все же было уже не принято - соответствующий па, пох., 25-Фев-20, 19:07 (137)
        
        А в чём там было дело Я даже в 90-х не видел в наших далеко-не-столичных к, Ю.Т., 25-Фев-20, 23:01 (143)
  - Необоснованное и слишком категоричное заявление Для qmail действительно требовал, Тот самый, 25-Фев-20, 13:03 (83)
- DJB таки дотошный типок, найти в его коде баг - редкость Абсолютно DJB просто п, Аноним, 26-Фев-20, 13:02 (157) //
  - Ну вот пример из топика в частности, и OpenBSD в целом ярко, иллюстрирует, тот ф, xm, 27-Фев-20, 14:32 (163)
ЗАЛИЛИ Опять вебмакаки портят код сишникам срывами буфера Коммит с дырой был с, Вебмакака, 25-Фев-20, 08:39 (29) //
- там уязвимости из-за того, что шел-скрипты можно исполнять, причём здесь неиспол, б.б., 25-Фев-20, 08:48 (31) //
  - Да, я уже посмотрел фикс, признаю, был неправ Проблема с буфером мелкая и нужна, Вебмакака, 25-Фев-20, 09:38 (38)
Opensmtpd Это который используется на 0 05 серверов Да это же Тот Самый Неуло, Нанобот, 25-Фев-20, 09:02 (33)
Хмм, хмм Кто-то капитально взялся за опёнка Если судить по последним местным, ryoken, 25-Фев-20, 09:37 (37) //
- это аудит он достаточно часто проходит , б.б., 25-Фев-20, 09:40 (39) //
  - Я бы так не сказал, ибо тут есть небольшая тонкость Тут никогда не было _ПОСТОЯ, Аноним, 25-Фев-20, 10:44 (57)
Странно, что ни одного переписывателя на раст го питон Как раз от этой ошибки б, DerRoteBaron, 25-Фев-20, 09:52 (42) //
- если ещё и в базовую систему rust go python тащить нее можно на perl перепис, б.б., 25-Фев-20, 10:17 (49) //
  - Вы опоздали - на awk netch когда-то написал если кто вдруг разыщет гуглем - у, пох., 25-Фев-20, 12:52 (80)
- Надо срочно завести проект на гитхабе, ой, простите, на гитлабе, пока другие не , пох., 25-Фев-20, 12:53 (81)
а вообще, как только песенки перестали выпускать, так всякая фигня начала творит, б.б., 25-Фев-20, 10:21 (50)
нам песня строить и жить и компилить помогает , б.б., 25-Фев-20, 10:21 (51) //
- она как друг нас зовёт и ведёт к торжеству раста, suffix, 25-Фев-20, 10:30 (53) //
  - А потом смузихлебам вгрузят какой-нибудь крап прямо в репу - и они дружно подавя, Аноним, 25-Фев-20, 13:30 (98) //
    - память о leftpad намекает, что можно даже не вгружать, а выгрузить уже сто лет н, пох., 25-Фев-20, 13:39 (105)
Объявляю 2020 годом похорон мифа об особенной безопасности OpenBSD, xm, 25-Фев-20, 13:13 (87) //
- Если что, разработчики OpenBSD никогда не называли свою ОС _самой_ безопасной, э, юникснуб, 25-Фев-20, 13:38 (104) //
  - доо, доо, и херни про ни одной уязвимости за n 1 лет для невоткнутой в розетк, пох., 25-Фев-20, 13:43 (106) //
    - Ты подменяешь понятия -- Самой самой Only two remote holes in the default , ssh, 26-Фев-20, 01:36 (150)
      - нет, я говорю что fud и пропаганда, не подтвержденная ни качеством кода, ни ауди, пох., 26-Фев-20, 10:56 (152)
        
        Ты преувеличиваешь, мне жалко времени на строительство ретроспективы, но там и а, ssh, 26-Фев-20, 11:11 (153)
  - Если прикапываться к словам, то - да, они никогда не называли себя самыми безопа, Аноним, 25-Фев-20, 14:30 (110) //
    - С некоторых пор считаю, что русскому хорошо, то немцу смерть Утрировано, и есте, Аноним, 25-Фев-20, 14:38 (112)
- Можно подумать, её безопасность ранее привлекала миллионы пользователей по всей , zurapa, 25-Фев-20, 15:07 (117) //
  - Вы путаете похороны мифа с похоронами тела А так да - в сектах не состою , xm, 25-Фев-20, 16:14 (121) //
    - А прошу прощения Тогда миф похоронили Накатим по SMTPD , zurapa, 25-Фев-20, 16:40 (124)
  - Отличный вопрос Похоже большая часть бойцов систему даже не устанавливали , ssh, 26-Фев-20, 06:20 (151)
ASAP - as secure as possible apt show opensmtpd Descript, snmp agent, 25-Фев-20, 20:02 (138)
Чуваки просто не могут пользоваться обновлениями Уже опровергли https www qua, Denis Fateyev, 26-Фев-20, 01:08 (146) //
- Всё куда веселее , к сожалению gt оверквотинг удален из oss-security , юникснуб, 01-Мрт-20, 16:29 (164) //
  - Ничего там особенного нет, кроме самого факта уязвимости в апстриме я мейнтейне, Denis Fateyev, 03-Мрт-20, 20:00 (165)
https www openwall com lists oss-security 2020 02 26 1exploit embargo lifted, Дон Ягон, 27-Фев-20, 02:20 (160)
Поставил OpenSMTPD, сложил туда все свои 171 яйца 187 Ломайте меня полность, zurapa, 06-Май-20, 07:33 (168)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру