Исходное сообщение
"Уязвимость в OpenSMTPD, позволяющая удалённо выполнить код с..." Отправлено Дон Ягон, 31-Янв-20 17:32
> sh -c с параметрами сформированными из юзерских данных так и хочется назвать болтом забитым на безопасность, или курением на бочке с порохом. Процитирую сам себя: Qmail: "When a mail message arrives, qmail-local runs sh -c command in your  home  directory." ( http://manpages.ubuntu.com/manpages/xenial/man8/qmail-comman... ) "args[0] = "/bin/sh"; args[1] = "-c"; args[2] = prog; args[3] = 0;" ( https://github.com/c-rack/qmail/blob/master/qmail-local.c#L263 ) Postfix: https://github.com/vdukhovni/postfix/blob/master/postfix/src... https://github.com/vdukhovni/postfix/blob/master/postfix/src... И postfix, и qmail проектировались с акцентом на безопасность. > Сам не понимаю почему. Потому что твоё желание ложное. Проблема не непосредственно в том, что вызывается sh -c. Популярные безопасные почтовые серверы postfix и qmail делают то же самое, и подобных проблем в них не было найдено. Вызывать из кода стороннюю программу с произвольными аргументами и не создать проблем с безопасностью в любом случае сложно, с sh или без.