![\"Megjelent](\"\/wp-content\/uploads\/2024\/03\/e675c9211d656f8603bcbc42ad9b67bf.gif\")
<\/center> <\/p>\nF\u0151bb \u00faj\u00edt\u00e1sok: <\/p>\n
- \n
- MongoDB kliens ker\u00fclt hozz\u00e1ad\u00e1sra, amely lehet\u0151v\u00e9 teszi virtu\u00e1lis felhaszn\u00e1l\u00f3i adatb\u00e1zisok, aliasok, c\u00edmk\u00e9pez\u00e9si list\u00e1k \u00e9s k\u00fcl\u00f6nb\u00f6z\u0151 ellen\u0151rz\u0151 t\u00e1bl\u00e1k t\u00e1rol\u00e1s\u00e1t ebben az adatb\u00e1zis-kezel\u0151 rendszerben. A MongoDB-hez val\u00f3 kapcsol\u00f3d\u00e1s be\u00e1ll\u00edt\u00e1s\u00e1hoz \u00faj t\u00e1blat\u00edpus ker\u00fclt bevezet\u00e9sre: \u201emongodb\u201d. P\u00e9ld\u00e1ul: \u201ealias_maps = proxy:mongodb:\/etc\/postfix\/mongo.cf\u201d, ahol a mongo.cf a MongoDB-hez val\u00f3 kapcsol\u00f3d\u00e1si \u00e9s lek\u00e9rdez\u00e9si be\u00e1ll\u00edt\u00e1sokat tartalmaz\u00f3 f\u00e1jl.\n
- A helyi k\u00e9zbes\u00edt\u00e9si \u00fcgyn\u00f6kbe hozz\u00e1ad\u00f3dott a k\u00f6rlev\u00e9l azonos\u00edt\u00f3j\u00e1nak export\u00e1l\u00e1sa, amelyet az SMTP munkamenet sor\u00e1n az ENVID (Envelope ID) param\u00e9terrel k\u00f6zvet\u00edtettek az ESMTP MAIL parancsban (RFC 3461). Az azonos\u00edt\u00f3 az ENVID k\u00f6rnyezeti v\u00e1ltoz\u00f3ba ker\u00fcl, \u00e9s az \u00fcgyn\u00f6k a pipe k\u00e9zbes\u00edt\u0151be az \u201e${envid}\u201d parancssori param\u00e9terrel ker\u00fcl tov\u00e1bb\u00edt\u00e1sra.\n
- A MySQL (\u201emysql:\u201d ) \u00e9s PostgreSQL (\u201epgsql:\u201d ) adathalmoz\u00f3khoz \u00faj param\u00e9terek ker\u00fcltek bevezet\u00e9sre: az \u201eidle_interval\u201d a kapcsolat inaktivit\u00e1s\u00e1nak idej\u00e9nek meghat\u00e1roz\u00e1s\u00e1ra \u00e9s a \u201eretry_interval\u201d, amely a k\u00e9r\u00e9sek \u00fajrak\u00fcld\u00e9s\u00e9nek id\u0151z\u00edt\u0151j\u00e9t hat\u00e1rozza meg. Alap\u00e9rtelmez\u00e9s szerint ezek \u00e9rt\u00e9ke 60 m\u00e1sodperc. A \u201eretry_interval\u201d \u00e9rt\u00e9k\u00e9t cs\u00f6kkenteni lehet p\u00e9ld\u00e1ul a hib\u00e1k ut\u00e1ni helyre\u00e1ll\u00edt\u00e1si id\u0151 ler\u00f6vid\u00edt\u00e9s\u00e9re, ha csak egy szerver tal\u00e1lhat\u00f3 a \u201ehosts\u201d attrib\u00fatumban.\n
- A MySQL klienshez hozz\u00e1ad\u00e1sra ker\u00fclt a \u201echarset\u201d be\u00e1ll\u00edt\u00e1s az alap\u00e9rtelmezett karakterk\u00f3dol\u00e1s megad\u00e1s\u00e1hoz. Alap\u00e9rtelmezettk\u00e9nt a \u201eutf8mb4\u201d \u00e9rt\u00e9ket haszn\u00e1lja, amely megfelel a MySQL 8.0 alap\u00e9rtelmezett be\u00e1ll\u00edt\u00e1sainak (kor\u00e1bbi verzi\u00f3kban a \u201elatin1\u201d \u00e9rt\u00e9ket haszn\u00e1lt\u00e1k). A MySQL 4.0-n\u00e1l r\u00e9gebbi verzi\u00f3k (teh\u00e1t a 2003 el\u0151tt kiadott verzi\u00f3k) t\u00e1mogat\u00e1sa megsz\u0171nt.\n
- Lehet\u0151s\u00e9get biztos\u00edtanak a TLS-hez, nem CA-ra megk\u00f6t\u00f6tt, \u00f6nal\u00e1\u00edrt (raw) nyilv\u00e1nos kulcs ig\u00e9nyl\u00e9s\u00e9re az X.509 tan\u00fas\u00edtv\u00e1ny helyett. Az \u00fcgyfelek \u00e9s szerverek azonos\u00edt\u00e1s\u00e1hoz t\u00f6rt\u00e9n\u0151 raw-kulcsok haszn\u00e1lata a «smtpd_tls_enable_rpk = yes» \u00e9s az «smtp_tls_enable_rpk = yes» param\u00e9tereken kereszt\u00fcl enged\u00e9lyezhet\u0151, de a hiteles\u00edt\u00e9s ellen\u0151rz\u00e9s\u00e9nek viselked\u00e9se er\u0151sen f\u00fcgg a be\u00e1ll\u00edtott biztons\u00e1gi szintt\u0151l \u00e9s a raw-kulcsok helyi TLS-implement\u00e1ci\u00f3ban val\u00f3 t\u00e1mogat\u00e1s\u00e1t\u00f3l (l\u00e1sd a dokument\u00e1ci\u00f3t).\n
- Bevezet\u00e9sre ker\u00fclt az OpenSSL konfigur\u00e1ci\u00f3s f\u00e1jlok kezdeti t\u00e1mogat\u00e1sa. A TLS be\u00e1ll\u00edt\u00e1sok f\u00e1jlra mutat\u00f3 hivatkoz\u00e1s megad\u00e1s\u00e1hoz a tls_config_file param\u00e9ter javasolt, m\u00edg a konfigur\u00e1ci\u00f3s f\u00e1jlban tal\u00e1lhat\u00f3 be\u00e1ll\u00edt\u00e1si szakasz nev\u00e9t a «tls_config_name» param\u00e9ter seg\u00edts\u00e9g\u00e9vel lehet megadni. Az OpenSSL konfigur\u00e1ci\u00f3s f\u00e1jlokhoz val\u00f3 k\u00f6t\u0151d\u00e9s cs\u00f6kkentheti a disztrib\u00faci\u00f3s be\u00e1ll\u00edt\u00e1sokt\u00f3l val\u00f3 f\u00fcgg\u0151s\u00e9get, amelyek biztons\u00e1gi szintj\u00e9nek v\u00e1ltoz\u00e1sa n\u00f6velheti a titkos\u00edtatlanul k\u00fcld\u00f6tt \u00fczenetek ar\u00e1ny\u00e1t.\n
- Az \u00fczenetek fejl\u00e9c\u00e9ben v\u00e1ltozott a napok sz\u00e1m\u00e1nak form\u00e1tuma - a 1-9 k\u00f6z\u00f6tti napok most null\u00e1val eg\u00e9sz\u00fclnek ki, nem pedig sz\u00f3k\u00f6zzel (azaz «01», «02» stb.). Ezt a v\u00e1ltoz\u00e1st az RFC 5322 aj\u00e1nl\u00e1sa indokolja, amely egyetlen sz\u00f3k\u00f6zt javasol elv\u00e1laszt\u00f3k\u00e9nt a d\u00e1tumokban.\n
- V\u00e9delmet vezettek be a «Blind» t\u00edpus\u00fa t\u00e1mad\u00e1sok ellen (web kliens SSRF-t\u00e1mad\u00e1sok, amelyek a SMTP-n kereszt\u00fcli szerver el\u00e9r\u00e9s\u00e9re ir\u00e1nyulnak), amelyet a «smtpd_forbid_unauth_pipelining = yes» (alap\u00e9rtelmez\u00e9s szerint) be\u00e1ll\u00edt\u00e1s mellett alkalmaznak.\n
- Alap\u00e9rtelmez\u00e9s szerint az «smtpd_forbid_bare_newline = normalize» be\u00e1ll\u00edt\u00e1s enged\u00e9lyezve van, amely v\u00e9di a szervert az «SMTP smuggling» t\u00edpus\u00fa t\u00e1mad\u00e1sok ellen, amelyek lehet\u0151v\u00e9 teszik egy \u00fczenet feloszt\u00e1s\u00e1t t\u00f6bb k\u00fcl\u00f6nb\u00f6z\u0151 \u00fczenetre nem szabv\u00e1nyos elv\u00e1laszt\u00f3 haszn\u00e1lat\u00e1val. Tov\u00e1bb\u00e1 v\u00e9delem ker\u00fclt bevezet\u00e9sre a kimen\u0151 SMTP smuggling t\u00e1mad\u00e1sok ellen, amikor a t\u00e1mad\u00f3 a Postfix alap\u00fa szervert haszn\u00e1lja egy m\u00e1sik SMTP szerver elleni t\u00e1mad\u00e1sra. Az «cleanup_replace_stray_cr_lf = yes» be\u00e1ll\u00edt\u00e1s alap\u00e9rtelmez\u00e9s szerint enged\u00e9lyezve van, amely a felesleges <CR> \u00e9s <LF> karaktereket sz\u00f3k\u00f6zre cser\u00e9li.\n
- A DNS kliens implement\u00e1ci\u00f3ban a DNS lek\u00e9rdez\u00e9sekb\u0151l visszaadott eredm\u00e9nyek m\u00e9rete mostant\u00f3l 100 bejegyz\u00e9sre van korl\u00e1tozva, ami 20-szor t\u00f6bb, mint a SMTP kliens maxim\u00e1lisan t\u00e1mogatott mennyis\u00e9ge. IP-c\u00edmek<\/a> egy szerver eset\u00e9n.\n
- Elavult kateg\u00f3ri\u00e1ba ker\u00fclt a «disable_dns_lookup» \u00e9s a «permit_mx_backup» param\u00e9ter, valamint n\u00e9h\u00e1ny TLS be\u00e1ll\u00edt\u00f3 param\u00e9ter.\n
- Megsz\u00fcntett\u00e9k a k\u00f6r\u00fclbel\u00fcl 20 \u00e9ve elavultnak nyilv\u00e1n\u00edtott be\u00e1ll\u00edt\u00e1sok t\u00e1mogat\u00e1s\u00e1t: «permit_naked_ip_address», «check_relay_domains» \u00e9s «reject_maps_rbl». <\/ul>\n