CERT-FI haavoittuvuustiedote 062/2003

18.9.2003

Haavoittuvuuksia Sendmail-ohjelmistossa


Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti - etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Sendmail on laajasti käytössä oleva sähköposti-palvelinohjelmisto. Sendmail-ohjelmistosta on löydetty haavoittuvuuksia, joiden hyväksikäyttö voi olla mahdollista joko paikallisesti tai verkon välityksellä esimerkiksi hyökkäystä varten muotoillun sähköpostin avulla. Haavoittuvuudet on korjattu Sendmail-ohjelmistoversiossa 8.12.10. Sendmail Inc ja Sendmail Consortium kehoittavat kaikkia Sendmail-ohjelmiston ylläpitäjiä päivittämään haavoittuvuuksille alttiit tietojärjestelmät korjaustiedostolla tai Sendmail-ohjelmistoversiolla 8.12.10.

HAAVOITTUVAT OHJELMISTOT:

Avoimeen lähdekoodiin perustuvien Sendmail-ohjelmistoversioiden 8.12.10 aiemmat ohjelmistoversiot
Kaupalliset Sendmail-ohjelmistot mukaan lukien Sendmail Switch, Sendmail Advanced Server (SAMS) sekä Sendmail for NT

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva tietojärjestelmä korjaustiedostolla tai päivitä käytössä oleva Sendmail-ohjelmistoversio versioon 8.12.10. Korjaustiedosto sekä uusin Sendmail-ohjelmistoversio on ladattavissa mm. osoitteesta:

http://www.sendmail.org/8.12.10.html

Tietojärjestelmäympäristöissä, joissa ei voida toteuttaa täydellistä päivitysprosessia, voidaan Sendmail-ohjelmisto määritellä käyttämään RunAsUser-optiota, jolloin mahdollisen haavoittuvuuden hyväksikäyton seurauksien vaikutukset voivat olla lievempiä.

Yleisohjeena CERT-FI suosittelee sulkemaan kaikki ne palvelut tietojärjestelmissä, joita ei välttämättä tarvita sekä ajamaan niitä palveluita, joita tarvitaan, mahdollisimman pienillä oikeuksilla.

Koska Sendmail-ohjelmisto kuuluu mm. oletuksena useaan eri Linux-distribuutioon, voi oletusasennuksena käyttöön otettu Linux-distribuutio sisältää haavoittuvuuksille alttiin Sendmail-ohjelmistoversion, joka usein käynnistyy oletusarvoisesti tietojärjestelmän käynnistyessä.