Релиз Postfix 2.7.3, 2.6.9, 2.5.12 и 2.4.16 с устранением уязвимости в STARTTLS
Доступны для загрузки корректирующие релизы почтового сервера Postfix 2.7.3, 2.6.9, 2.5.12 и 2.4.16 в которых устранена уязвимость в реализации команды STARTTLS, дающая возможность подстановки SMTP-команды в SMTP-сессию, работающую по защищенному TLS-каналу. Причиной проблемы является особенность буферизации входных данных, переданных сразу после SMTP-команды "STARTTLS".Иными словами переданная без шифрования SMTP-команда воспринимается в рамках шифрованной сессии, что может быть использовано для осуществления атаки "http://ru.wikipedia.org/wiki/%D0%A7%D0%B5%D0%BB%D0%BE%D0%B2%D0%B5%D0%BA_%D0%BF%D0%BE%D1%81%D0%B5%D1%80%D0%B5%D0%B4%D0%B8%D0%BD%D0%B5 человек посередине", при которой злоумышленник транслирует запросы между клиентом и сервером. При проверке серверных сертификатов на стороне клиента злоумышленник не имеет возможность вклиниться в TLS-трафик, но используя рассматриваемую уязвимость, он может отправить свою команду в незашифрованном виде, сразу после команды "STARTTLS", при этом эта незашифрованная команда будет воспринята в контексте шифрованного TLS-соединения.
Стабильная ветка Postfix 2.8 и экспериментальная ветка Postfix 2.9 проблеме не подвержены. Кроме Postfix уязвимость присутствует и в других продуктах с реализацией команды STARTTLS, список которых пока не сообщается.
Кроме уязвимости в представленных версиях исправлено несколько проблем, связанных с работой на платформах Solaris, FreeBSD и HP-UX, а также устранено несколько незначительных ошибок.
© OpenNet
