The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



"Раскрыты подробности критической уязвимости в Exim"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от opennews (??), 06-Сен-19, 20:19 
Опубликован корректирующий выпуск Exim 4.92.2 с устранением критической уязвимости (CVE-2019-15846), которая в конфигурации по умолчанию может привести к удалённому выполнению кода злоумышленника с правами root. Проблема проявляется только при включении поддержки TLS и эксплуатируется через передачу специально оформленного клиентского сертификата или модифицированного значения в SNI. Уязвимость выявлена  компанией Qualys...

Подробнее: https://www.opennet.ru/opennews/art.shtml?num=51435

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения [Сортировка по времени | RSS]


2. "Раскрыты подробности критической уязвимости в Exim"  +6 +/
Сообщение от KaE (ok), 06-Сен-19, 20:28 
Ну и напоследок... компания Qualys и разработчики Exim в очередной раз желают всем приятных выходных!
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

49. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от fail (?), 07-Сен-19, 05:53 
>Ну и напоследок... компания Qualys и разработчики Exim в очередной раз желают всем приятных выходных!

Вспомнился старый анекдот:
Понедельник, утро, семейный очаг, благоверная дежурит со спец. ср-вами, заползает добытчик шкур мамонтов, диалог:
- ты где был ?
- в эту праздничную ночь, с четверга на понедельник мы отмечали ДР кореша !
Занавес

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

3. "Раскрыты подробности критической уязвимости в Exim"  +20 +/
Сообщение от Аноним (3), 06-Сен-19, 20:53 
> RHEL и CentOS проблеме не подвержены, так как Exim не входит в их штатный репозиторий пакето

ГЕНИАЛЬНО!

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

4. "Раскрыты подробности критической уязвимости в Exim"  +13 +/
Сообщение от Аноним (4), 06-Сен-19, 21:11 
Кстати это реально работает. Я не подвержен уязвиомостям виндоус, потому что не ставил её себе.
Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

5. "Раскрыты подробности критической уязвимости в Exim"  +3 +/
Сообщение от suffix (ok), 06-Сен-19, 21:30 
Да ладно Вам - в этом году всего три у exim и одна у dovecot критические уязвимости - главное новости этого сайта читать и обновляться вовремя.

Всё равно exim + dovecot лучше чем гугл-почта и дешевле чем эксчендж.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

13. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от robot228email (?), 06-Сен-19, 22:13 
Ещё бы придумать инструмент своевременного оповещения о выходе новых версии софта, особенно если дело касается критических исправлении. Пока к сожалению только на гитхабе по RSS все обновы ставлю. Но есть такой софт который не хостится на гитхабе и тому подобных системах.
Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

16. "Раскрыты подробности критической уязвимости в Exim"  –1 +/
Сообщение от Аноним (16), 06-Сен-19, 22:15 
https://vulners.com/products
Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

105. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (105), 09-Сен-19, 22:25 
Чистая белая страница.
Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

19. "Раскрыты подробности критической уязвимости в Exim"  –1 +/
Сообщение от пох. (?), 06-Сен-19, 22:22 
так придуман давно - tail /var/log/apt.log (или как он там)

наивные дети, думающие что они могут уследить за всем миллионом кривых софтин установленных на всех хостах - должны же страдать еще до того, как выберутся за пределы локалхоста?

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

35. "Раскрыты подробности критической уязвимости в Exim"  –1 +/
Сообщение от robot228email (?), 06-Сен-19, 23:06 
> так придуман давно - tail /var/log/apt.log (или как он там)
> наивные дети, думающие что они могут уследить за всем миллионом кривых софтин
> установленных на всех хостах - должны же страдать еще до того,
> как выберутся за пределы локалхоста?

У тебя моцк ктухлу зохавал походу. В чс добавил. Запарил всякую фигню нести.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

52. "Раскрыты подробности критической уязвимости в Exim"  –2 +/
Сообщение от . (?), 07-Сен-19, 08:19 
очередное детишко обиделось?

ну ладно, пусть больше не читает - а то ж разрушают ему розовый маня-мирок, где оно может вовремя и хоть с какой пользой (учитывая типовое жданье ебилдов) отслеживать все-все-все уязвимости во всем-всем-всем что понаустанавливало...или точнее поустанавливали за него умные дяди без спросу.

И конечно же о каждой уязвимости обязательно сообщают через специальные мэйллисты и модный слак, а не молча выпускают новую версию без лишнего ажиотажа, главное только найти в лесу этот волшебный цветочек...то есть мэйллист.

Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

63. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (63), 07-Сен-19, 12:56 
Пох, а терминация TLS для почтового трафика на реверсном прокси насколько удачное решение, и почему? Спасибо.
Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

99. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от пох. (?), 09-Сен-19, 12:59 
> Пох, а терминация TLS для почтового трафика на реверсном прокси насколько удачное
> решение, и почему? Спасибо.

две точки отказа вместо одной и два уязвимых сервиса вместо одного, ну я хз.

нет, если под "proxy" ты подразумеваешь какой-нибудь ironport - то, конечно, работает - в смысле, за его интерфейсом tls и не особо нужен, и никакими неприятностями если и есть, не грозит.
Он и еще от статыщ болезней помогает, только стоит, гад, неприличных денег, купите два и заплатите всего-навсего вдвое больше! И настраивать неудобно, как и у всех энтерпрайзных поделок.

А самому из дерьма и палок лепить - зачем?

Ответить | Правка | ^ к родителю #63 | Наверх | Cообщить модератору

24. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от KonstantinB (ok), 06-Сен-19, 22:29 
На https://www.cvedetails.com/ есть кастомизируемый RSS.
Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

40. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (40), 07-Сен-19, 00:20 
Через 4 года тут будет город сад... (с)
https://www.cvedetails.com/cve-details.php?cve_id=CVE-2019-1...

Unknown CVE ID

Нет, конечно, дней через несколько оно там появится, но не сегодня..

Но ремотный рут это такая штука, о которой через неделю узнать может оказаться поздно. (даже если не рут, а просто пользователь от которого работает почтовка.. это обычно все, что и есть на сервере. Уж мейнить и спамить - 100% хватит.)

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

43. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Тройной (?), 07-Сен-19, 03:15 
https://www.openwall.com/lists/oss-security/
Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

60. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (60), 07-Сен-19, 10:24 
> Ещё бы придумать инструмент своевременного оповещения о выходе новых версии софта, особенно если дело касается критических исправлении.

А лучше, чтобы этот инструмент сам же эти критические обноления и ставил… Хотя погоди!
https://wiki.debian.org/UnattendedUpgrades
https://dnf.readthedocs.io/en/latest/automatic.html

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

71. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от OpenEcho (?), 07-Сен-19, 17:10 
https://www.itsecdb.com/oval/
Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

42. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (42), 07-Сен-19, 01:10 
Иногда тяжело отличать сарказм и не сарказм.
Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

58. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от BrainFucker (ok), 07-Сен-19, 09:02 
> Всё равно exim + dovecot лучше чем

Есть Postfix, если что.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

59. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (60), 07-Сен-19, 10:16 
> главное новости этого сайта читать и обновляться вовремя.

Да-да, уязвимости, о которых тут не пишут, они ведь не существуют. И ты ведь 24/7 онлайн, чтобы вовремя прочитать новость и накатить обнову на свой сервачок, не так ли?

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

62. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от suffix (ok), 07-Сен-19, 10:55 
Конечно 24/7 - а как же иначе гордо нести высокое звание постмастера :) ?
Ответить | Правка | ^ к родителю #59 | Наверх | Cообщить модератору

64. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от Аноним (63), 07-Сен-19, 12:59 
У многих современных постмастеров даже такого алиаса нет. Какой уж тут 24/7.
Ответить | Правка | ^ к родителю #62 | Наверх | Cообщить модератору

100. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от пох. (?), 09-Сен-19, 13:00 
> У многих современных постмастеров даже такого алиаса нет. Какой уж тут 24/7.

afair, в б-жественной бубунточке я видел /etc/aliases длиной ноль байт. Ну а чо, кому надо - напишет свои же ж?

Ответить | Правка | ^ к родителю #64 | Наверх | Cообщить модератору

9. "Раскрыты подробности критической уязвимости в Exim"  –3 +/
Сообщение от пох. (?), 06-Сен-19, 21:59 
epel, кстати, обновился - удивительно, и необычно для них, не прощелкали.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

10. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (16), 06-Сен-19, 22:02 
То то пишут бред, не обновились они. Так что пох и нах
Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

12. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от пох. (?), 06-Сен-19, 22:08 
да, зря я за них радовался - не туда глянул. "там" все как обычно - 4.92.1

ну ничего, через недельку отдуплятся и поток спама с гуаноvps начнет снижаться.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

82. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (82), 08-Сен-19, 04:29 
До сих пор не обновился
Дырявый ентерпрайс
Счастлив от того что у меня Ubuntu, реально, все апдейты вчера поставились
Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

85. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (40), 08-Сен-19, 10:37 
Уже... (сен  8 05:04 + время на синк по зеркалам)
Ответить | Правка | ^ к родителю #82 | Наверх | Cообщить модератору

92. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от пох. (?), 09-Сен-19, 12:35 
> Уже... (сен  8 05:04 + время на синк по зеркалам)

че-та поторопились, эксплойт видимо никто так толком и не выпустил - доля спама с exim'ов нифига не изменилась, обычный всплеск в ночь с пятницы на понедельник.

Ответить | Правка | ^ к родителю #85 | Наверх | Cообщить модератору

93. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от пох. (?), 09-Сен-19, 12:37 
> До сих пор не обновился
> Дырявый ентерпрайс

epel - нерекомендованный к использованию энтерпрайзом репозиторий.
> Счастлив от того что у меня Ubuntu, реально, все апдейты вчера поставились

сам-то ты руками вообще ничего делать не умеешь, только писюн теребить, да?

"счастлив от того что у меня exchange, все апдейты всегда сами ставятся. А если чего и не исправляют - я об этом все равно не узнаю."


Ответить | Правка | ^ к родителю #82 | Наверх | Cообщить модератору

20. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от KonstantinB (ok), 06-Сен-19, 22:24 
Про Windows 10 еще надо было написать!
Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

81. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (82), 08-Сен-19, 04:27 
В EPEL до сих пор нет нового Exim
Все так называемые ентерпрайс системы типа CentOS уязвимы

И стоит ли после этого в продакшин использовать их?)

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

88. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (88), 08-Сен-19, 17:43 
А что мешает вам использовать в продакшене систему с postfix по умолчанию вместо дырявого сабжа?
Ответить | Правка | ^ к родителю #81 | Наверх | Cообщить модератору

89. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (63), 08-Сен-19, 23:40 
Обновления для постфикс будут от этого выходить быстрее чем обновления для exim?
Ответить | Правка | ^ к родителю #88 | Наверх | Cообщить модератору

94. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от пох. (?), 09-Сен-19, 12:41 
> В EPEL до сих пор нет нового Exim
> Все так называемые ентерпрайс системы типа CentOS уязвимы
> И стоит ли после этого в продакшин использовать их?)

epel - нет, и никогда раньше не стоило. What is EPEL? EPEL (Extra Packages for Enterprise Linux) is a volunteer-based community effort... то есть типовая васян-сборка пакетов, по разным причинам не включенных в поставку.

Годится чтоб не тратить время на то, что понадобилось один раз вот сейчас, или с чем хочется быстро поэкспериментировать на будущее.

А если ты промышленный почтовый сервер на много пользователей и с нетривиальной обработкой их почты (для чего и нужен exim) используешь не с самостоятельно как тебе нужно собранной версией, а с поделкой из epel - тебя ждут не дождутся на трехдневных курсах windows-админов.

Ответить | Правка | ^ к родителю #81 | Наверх | Cообщить модератору

6. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Sw00p aka Jerom (?), 06-Сен-19, 21:50 
ну шо продолжаем дискуссию по поводу терминирующего нуль символа?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

66. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (63), 07-Сен-19, 13:04 
Полезная оказывается штука, этот символ!
А сколько их ещё не нашли!
Подождем пару недель, пока какой-нибудь швед вылезет с очередной порцией символов.
Обнова будет в пятницу, чтобы админы на выходных не скучали.
Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

7. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (16), 06-Сен-19, 21:52 
RedHat не выпустил еще пакеты, доступны по ссылке https://apps.fedoraproject.org/packages/exim/builds/
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

8. "Раскрыты подробности критической уязвимости в Exim"  –3 +/
Сообщение от пох. (?), 06-Сен-19, 21:57 
очередной привет от ненужно-sni.

интересно, вот каких печенек с какой волшебной травой надо наесться, чтобы этот мусор притащить еще и в mta?


Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

11. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от suffix (ok), 06-Сен-19, 22:05 
Ну удобно же на одном exim получать почту на несколько доменов с разными IP и сертификатами.
Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

14. "Раскрыты подробности критической уязвимости в Exim"  –2 +/
Сообщение от пох. (?), 06-Сен-19, 22:14 
еще один :-(

зачем тебе разные сертификаты одного и того же сервера, принадлежащие одному и тому же юзеру на нем?
Для создания _видимости_ безопасности?

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

18. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от suffix (ok), 06-Сен-19, 22:21 
Как перфекционисту приятно же иметь на

https://www.immuniweb.com/ssl/?id=WxGZsI4I

Не просто А+, но и compliant to PCI.DSS, HIPAA and NIST

:)

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

22. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от KonstantinB (ok), 06-Сен-19, 22:27 
И arbitrary code execution под рутом. Бонусом. :-)
Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

25. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от suffix (ok), 06-Сен-19, 22:29 
Тонизирует и заставляет отслеживать обновления :)
Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

38. "Раскрыты подробности критической уязвимости в Exim"  –2 +/
Сообщение от Тот самый (?), 06-Сен-19, 23:58 
Бонус только для тех, у которых exim под рутом крутится, или с suid битом. А если так:

ps axu
mail     29485  0.0  0.0  7876 2016 ?  S  Sep06   0:00 exim -bdf -q15m

PS Да вообще-то уже обновился. Конфигурирование Makefile и сборка заняли ~10 минут

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

47. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (47), 07-Сен-19, 04:20 
Выполнение произвольного кода под uid мейлера - тоже не сахар
Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

23. "Раскрыты подробности критической уязвимости в Exim"  –1 +/
Сообщение от пох. (?), 06-Сен-19, 22:29 
ну вот теперь имеешь remote root. Приятно, ага.

попутно кормишь товарищмайора метаинфой.

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

28. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от suffix (ok), 06-Сен-19, 22:36 
С этой точки зрения я с Ваии согласен, но есть один нюанс - у меня есть убеждение (не подкреплённые фактами правда), что для рассылок (попадание в инбокс) важно таки иметь отдельный сертификат на каждый домен.
Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

32. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от KonstantinB (ok), 06-Сен-19, 22:39 
Не, это уже про DKIM, а там совсем другая история.
Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

33. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от suffix (ok), 06-Сен-19, 22:45 
DKIM вообще у всех есть - Гугл на него практически не смотрит - так маленький плюсик - сейчас у него в фаворе mta-sts.

Но и сертификат отдельный на домен тоже плюс маленький я думаю.

Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

48. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (47), 07-Сен-19, 04:22 
Ну не знаю, спам я не шлю, а рассылки, на которые пользователь осознанно подписался, отлично доходят.
Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

53. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от пох. (?), 07-Сен-19, 08:28 
смотрит, но не так как ты думаешь. И да, у каждого спамера dkim - разумеется, есть.
У нормальных списков рассылки - разумеется, нет. Но обезьянки из гугля - тyпopылы чуть более чем полностью, и продолжают отбрасывать валидную почту, пропуская спам.

Теперь вот требование к каждому почтовику иметь по веб-серверу. То ли тоже от тyпopылости, то ли надеются еще что-нибудь узнать о пользователях, то ли то и другое вместе.

> Но и сертификат отдельный на домен тоже плюс маленький я думаю.

вообще пох.

сделай себе dkim и можешь сэкономить на ненужно-tls. Раз уж майор один хрен знает домены, а за логами может и зайти, если понадобятся. На скор гугля вообще не влияет. Главное не забывай автоматически оформлять нешифрованные письма в "корпоративном дизайне корреспонденции". plaintext даже с dkim все чаще финиширует в папке "спам".

Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

57. "Раскрыты подробности критической уязвимости в Exim"  –1 +/
Сообщение от suffix (ok), 07-Сен-19, 08:52 
Вы это мне ? :)

У меня рассылки подписчикам сайта никогда в спам не попадают. Годами рейтинг на senderscore.org 100.
Настроено всё разумеется spf, dkim,dmarc, ptr, smtp banner и так нравящиеся Гуглу MTA-STS, SMTP-TLSRPT (а это кстати ещё один отдельный сертификат на поддомен).
И пусть товарищ майор и знает и читает - ничего секретного в рассылках сайта нет - статьи про хрюш :)

А для нужных случаев есть всё что нужно с шахматами и поэтессами (верификации Dane tlsa под DNSSEC и шифрованием s/mime)

Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

78. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от Аноним (60), 07-Сен-19, 23:37 
> Как перфекционисту приятно же иметь на
> https://www.immuniweb.com/ssl/
> Не просто А+, но и compliant to PCI.DSS, HIPAA and NIST

Совершенно упоротая писькомерка. Проверил свой postfix, подкрутил настройки — issues стало меньше, но общая оценка упала с A до A-. Это как так? Проверил HTTPS, подкрутил настройки — он почему-то не нашёл OCSP stapling, который как был включён, так и остался.
Ну и по алгоритмам у HIPAA и NIST весьма спорные рекомендации.

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

79. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от suffix (ok), 07-Сен-19, 23:55 
А вот сейчас обидно :(

Если на странице этого теста перейти во вкладку "About" то на в низу в абзаце "acknowledgements" - в первой строчке я упомянут.

Понятно что у всех своё видение но это лучший тест в этой направленности (tls для smtp.

Ответить | Правка | ^ к родителю #78 | Наверх | Cообщить модератору

84. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (60), 08-Сен-19, 10:09 
> Понятно что у всех своё видение но это лучший тест в этой направленности (tls для smtp.

Потому что других просто нет?

Ответить | Правка | ^ к родителю #79 | Наверх | Cообщить модератору

86. "Раскрыты подробности критической уязвимости в Exim"  –1 +/
Сообщение от suffix (ok), 08-Сен-19, 11:12 
> Потому что других просто нет?

Почему нет ?

Есть же testssl.sh, sslyze которые умеют smtp.

Но immuniweb (бывший htbridge.com) ИМХО просто лучше !


Ответить | Правка | ^ к родителю #84 | Наверх | Cообщить модератору

103. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от пох. (?), 09-Сен-19, 13:08 
> Совершенно упоротая писькомерка. Проверил свой postfix, подкрутил настройки — issues

ну так кому - надежный почтовый сервер, а кому - писькомерку.
Эти категории почти не пересекаются.

> Ну и по алгоритмам у HIPAA и NIST весьма спорные рекомендации.

ну так вам шашечки или сертификацию ? Во втором случае "спорные рекомендации" становятся бесспорными. В остальных случаях писькомерками не пользуются.

Ответить | Правка | ^ к родителю #78 | Наверх | Cообщить модератору

21. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от KonstantinB (ok), 06-Сен-19, 22:26 
Я вообще узнал про то, что там есть SNI, только сегодня. Сильно удивился, на кой.
Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

26. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от пох. (?), 06-Сен-19, 22:30 
его скорее всего и отключить-то в распрекрасном openssl нельзя. Можно только проигнорировать результат.

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

29. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от KonstantinB (ok), 06-Сен-19, 22:37 
Не, SNI там надо в явном виде заимплементить. SSL_CTX() и колбэк на каждый SNI hostname.
Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

54. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от пох. (?), 07-Сен-19, 08:30 
ну вот колбэки можно не регистрировать, а ненужнозаголовок оно все равно небось отправит. С дефолтным доменом, если не назначить.

Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

75. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от KonstantinB (ok), 07-Сен-19, 20:39 
Если не дергать SSL_set_tlsext_host_name, ничего не отправит. А откуда ему знать, что отправлять?
Ответить | Правка | ^ к родителю #54 | Наверх | Cообщить модератору

96. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от пох. (?), 09-Сен-19, 12:48 
> Если не дергать SSL_set_tlsext_host_name, ничего не отправит. А откуда ему знать, что
> отправлять?

что-нибудь найдут, я в них верю

если у тебя есть подходящий кусок кода - можно было бы взять да и просто проверить tcpdump'ом, шлет он этот мусор или нет.

Ответить | Правка | ^ к родителю #75 | Наверх | Cообщить модератору

31. "Раскрыты подробности критической уязвимости в Exim"  –1 +/
Сообщение от нона (?), 06-Сен-19, 22:39 
Ога, долбоклювы прозевали, а виноват SNI. А вообще, если бы все боялись осваивать технологии из-за страха получить уязвимость, ты бы до сих пор в пещере под шконкой сидел, а не пыхтел с теплого дивана.
Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

15. "Раскрыты подробности критической уязвимости в Exim"  +3 +/
Сообщение от Anonymoustus (ok), 06-Сен-19, 22:14 
Сишечка православная не прощает невнимательных. :)
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

17. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от Anonymoustus (ok), 06-Сен-19, 22:17 
Интересно, вот, из общетеоретических соображений: если сконвертировать исходники на ненавидимый всеми Паскаль и скомпилировать — уязвимость будет?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

27. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от пох. (?), 06-Сен-19, 22:30 
нет, поскольку они и работать - тоже не будут.

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

30. "Раскрыты подробности критической уязвимости в Exim"  +2 +/
Сообщение от KonstantinB (ok), 06-Сен-19, 22:38 
Но ведь уязвимости нет, если ничего не работает!

(philosoraptor.jpg)

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

34. "Раскрыты подробности критической уязвимости в Exim"  –1 +/
Сообщение от Anonymoustus (ok), 06-Сен-19, 22:51 
> нет, поскольку они и работать - тоже не будут.

Почему же нет? Фрипаскалем сконьпелировать статически — ещё и на линуксах правнуков будут работать.

Надо бы попробовать на чём-то.

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

36. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от Аноним (36), 06-Сен-19, 23:07 
> если сконвертировать исходники на ненавидимый всеми Паскаль..

Вирт хитро улыбнулся и заказал еще попкорна

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

37. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Anonymoustus (ok), 06-Сен-19, 23:18 
>> если сконвертировать исходники на ненавидимый всеми Паскаль..
> Вирт хитро улыбнулся и заказал еще попкорна

Делать это я не пробовал, но пишут, что можно:

https://wiki.freepascal.org/C_to_Pascal

Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

39. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (36), 07-Сен-19, 00:02 
Смысл то? очевидно что в более строгом языке косяков меньше, про это все знают, но толку то? ситуация сложилась так как сложилась..
Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

55. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от пох. (?), 07-Сен-19, 08:32 
хеловорд - можно.

в остальных случаях ты напишешь еще один си-компилятор, с динамическими строками в том числе. И нулевой производительностью.

Ну голову-то надо иногда не только кормить?


Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

41. "Раскрыты подробности критической уязвимости в Exim"  +2 +/
Сообщение от Ordu (ok), 07-Сен-19, 01:03 
Из общетеоретических соображений ответить на этот вопрос невозможно. Но из практических соображений можно: это будет зависеть от того, как ты будешь конвертировать.

Если ты будешь использовать паскалевские строки, то выйти за границы массива тебе не удастся. Дыра таким образом заткнётся, но баг останется. И не факт, что этот баг не позволит эксплуатацию -- это уже будет зависеть от того, насколько корректно ты будешь обрабатывать ошибки в программе. И вряд ли очень корректно, если речь идёт о построчном переписывании exim.

А если ты откажешься от паскалевских строк, потому что, например, тебе не нравится сборка мусора, и ты хочешь рулить памятью под строки самостоятельно, то тут уже будет зависеть от того, как ты реализуешь строки в паскале. Скорее всего тебе ведь захочется отойти от упёртости паскаля реализуя их, и сделать что-нибудь разэдакое, в стиле:

struct c_string {
    size_t size;
    char str[0]; /* variable size */
};

Паскаль этого не позволяет (насколько я понимаю, он не умеет в array [] of char, а если ему указать 0 в качестве размера, то он любой индекс будет считать инвалидным и отвергать с рантайм ошибкой), значит ты так или иначе включишь "unsafe" режим программирования (заюзав какие-нибудь компиляторо-специфичные вещи, вплоть до ассемблерных вставок), таким образом у тебя будут все возможности нарушить инварианты языка, и если наружу ты выставишь API изоморфный C'шному API для работы с char* (чтобы максимально просто было бы переписывать), и под этим API не будешь вставлять дополнительных проверок на размеры (большинство этих проверок ведь не нужны и тормозят выполнение программы), то ты легко при переписывании сможешь воспроизвести баг.

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

44. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Андрей (??), 07-Сен-19, 03:24 
> и под этим API не будешь вставлять дополнительных проверок на размеры (большинство этих проверок ведь не нужны и тормозят выполнение программы)

А Rust, разве, не таким же образом обеспечивает безопасность "без потери" производительности при обработке массивов?

Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

50. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Ordu (ok), 07-Сен-19, 06:12 
>> и под этим API не будешь вставлять дополнительных проверок на размеры (большинство этих проверок ведь не нужны и тормозят выполнение программы)
> А Rust, разве, не таким же образом обеспечивает безопасность "без потери" производительности
> при обработке массивов?

Я думаю, так же. Не уверен -- я никогда не разбирался как работают оптимизаторы паскалей. Где-то читал, что они в 70-е годы умели оптимизировать эти проверки, выкидывая их из циклов или выполняя во время компиляции, то есть C был шагом назад уже тогда. Но сам я никогда не вникал. Хоть мне не очень верится: я видел код скомпилированный из C в 90-е, и он инлайня сохранял пролог/эпилог функции, создающий/удаляющий стековый фрейм. AFAIR, примеры тому можно найти, скажем, в heroes2.exe -- там инлайнятся строковые функции, типа strlen, и они сохраняют регистры которые можно не сохранять. Мне не очень верится что такого рода компилятор мог бы справится с преобразованием кода:

for i in 0..N {
   if i<N {
       println!("{}", arr[i]);
   } else {
       fatal_error("Index out of bounds");
   }
}

к

for i in 0..min(N, arr.len()) {
    println!("{}", arr[i]);
}
if N>=arr.len() {
    fatal_error("Index out of bounds");
}

Но может современные оптимизирующие компилятора паскаля так умеют? Впрочем, хз как им это может удастся, если нет возможности на функцию fatal_error повесить атрибут, говорящий компилятору, что эта функция никогда не возвращает управление.

Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

56. "Раскрыты подробности критической уязвимости в Exim"  –1 +/
Сообщение от пох. (?), 07-Сен-19, 08:39 
> А Rust, разве, не таким же образом обеспечивает безопасность "без потери" производительности
> при обработке массивов?

у него обычный компилятор.

А одним из великих преимуществ паскакаля (для студоты и прочих ненужно) является то что его компиляторы - однопроходные. Ведь студенту главное что - чтобы быстро-быстро скомпилилось, и можно бежать пить смузи с девочками. А о производительносни ненужноязыковых программ вообще незачем заботиться. Все равно они кроме сортировки пузырьком ничего не делают.

Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

69. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от Анонимный_Пояснитель (?), 07-Сен-19, 13:32 
> А одним из великих преимуществ паскакаля (для студоты и прочих ненужно) является то что его компиляторы - однопроходные. Ведь студенту главное что -
> чтобы быстро-быстро скомпилилось, и можно бежать пить смузи с девочками. А
> о производительносни ненужноязыковых программ вообще незачем заботиться.

Для новых анонимов поясню, а то пох слишком скромный:
Это были рассуждения и мысли о правильных и неправильных языках программирования от известного, активного, профессионального разработчика поха.

Для модераторов и некоторых совсем-совсем уже почти взрослых анонимых защитников поха от непонятно чего:
Эта штука называется сарказм.

Ответить | Правка | ^ к родителю #56 | Наверх | Cообщить модератору

61. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (60), 07-Сен-19, 10:39 
> Из общетеоретических соображений ответить на этот вопрос невозможно. Но из практических соображений можно

А с точки зрения банальной эрудиции?

Ответить | Правка | ^ к родителю #41 | Наверх | Cообщить модератору

45. "Раскрыты подробности критической уязвимости в Exim"  –1 +/
Сообщение от Андрей (??), 07-Сен-19, 03:29 
Можно попробовать сконвертировать и на Go: https://github.com/elliotchance/c2go
Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

46. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (46), 07-Сен-19, 04:13 
Есть более современая замена Vlang переводит си в V (голанг подобный).
Ответить | Правка | ^ к родителю #45 | Наверх | Cообщить модератору

70. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от Аноним84701 (ok), 07-Сен-19, 13:52 
> Есть более современая замена Vlang переводит си в V (голанг подобный).

Его что, за 3 месяца резко перевели из разряда "препрепрепреальфа и много мыслей, что должно быть в зашибись языке!" в реальность?


Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

51. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Anonymoustus (ok), 07-Сен-19, 06:56 
> Можно попробовать сконвертировать и на Go: https://github.com/elliotchance/c2go

Да, идея, в целом, именно такая: получится ли конвертировать сишные исходники во что-то более безопасное и собрать без потери функциональности и скорости бинарника.

Ответить | Правка | ^ к родителю #45 | Наверх | Cообщить модератору

72. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от None (??), 07-Сен-19, 18:20 
Не очень понятно, зачем почтовому демону вытаскивать бекслэши из строк где-либо помимо функции чтения конфига.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

76. "Раскрыты подробности критической уязвимости в Exim"  –2 +/
Сообщение от Аноним (76), 07-Сен-19, 21:20 
Для выполнения парсером любого кода как обговорено разработчиками с ЦРУ и АНБ.
Ответить | Правка | ^ к родителю #72 | Наверх | Cообщить модератору

74. "Раскрыты подробности критической уязвимости в Exim"  –2 +/
Сообщение от Аноним (74), 07-Сен-19, 20:15 
>В качестве обходного пути для блокирования уязвимости можно отключить поддержку TLS или добавить в секцию ACL "acl_smtp_mail"

Спасибо что не сказали об этом сразу, а поквасили пару недель в ожидании исправления под nda. Мы ведь верим, что инфа, доведенная до мейнтейнеров дистрибутивов раньше огласки в паблике никуда не утечет.

Господи, какие же у5б*н#.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

97. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от пох. (?), 09-Сен-19, 12:54 
> Спасибо что не сказали об этом сразу, а поквасили пару недель в
> ожидании исправления под nda. Мы ведь верим, что инфа, доведенная до

тебя тутошние вопли страдальцев с epel ничему не научили?

> мейнтейнеров дистрибутивов раньше огласки в паблике никуда не утечет.

мы верим что ущерб от нее будет в разы меньше, чем от публикации рецепта, позволяющего легко вычислить саму уязвимость, при наличии миллиона доступных серверов в интернете. Потому что менять конфиги вы не умеете, как и пересобирать пакеты своими силами. Ан масс. А спам - явление массовое.

Ответить | Правка | ^ к родителю #74 | Наверх | Cообщить модератору

77. "Раскрыты подробности критической уязвимости в Exim"  –2 +/
Сообщение от Michael Shigorinemail (ok), 07-Сен-19, 21:29 
> переменная с адресом отравителя

Предложил правку, но вообще новость в таком изложении звучит как-то даже прям иначе...

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

80. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от Аноним (82), 08-Сен-19, 04:27 
В EPEL до сих пор нет нового Exim
Все так называемые ентерпрайс системы типа CentOS уязвимы

И стоит ли после этого в продакшин использовать из?)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

83. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от Аноним (83), 08-Сен-19, 09:31 
А какое отношение Centos имеет к EPEL? Это васянский сторонний репозиторий.
Ответить | Правка | ^ к родителю #80 | Наверх | Cообщить модератору

87. "Раскрыты подробности критической уязвимости в Exim"  +1 +/
Сообщение от Аноним (82), 08-Сен-19, 12:15 
Именно поэтому надо ставить нормальный дистрибутив, а не центось и потом обмазываться васяно-репозиториями и орать про стабильность
Ответить | Правка | ^ к родителю #83 | Наверх | Cообщить модератору

104. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (60), 09-Сен-19, 14:14 
> EPEL? Это васянский сторонний репозиторий.

Не васянский, а федорастический. Что не лень федоромайнтайнерам лишний раз собрать, то туда и пихают, не заботясь о качестве.

Ответить | Правка | ^ к родителю #83 | Наверх | Cообщить модератору

90. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (90), 09-Сен-19, 09:19 
Если sni не используется имеет смысл включать?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

91. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Аноним (90), 09-Сен-19, 09:42 
failed to expand ACL string "${if eq{\\}{${substr{-1}{1}{$tls_in_sni}}}}": unknown variable name "tls_in_sni"
Хм, я опять в пролете?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

108. "Раскрыты подробности критической уязвимости в Exim"  +/
Сообщение от Anonimus (??), 29-Сен-19, 12:21 
CVE-2019-16928

Шо, опять ?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру