Ndị nyocha nchekwa sitere na Qualys ohere adịghị ike na sava ozi qmail, laa azụ na 2005 (CVE-2005-1513), mana ọ nọgidere na-enweghị ihe ọ bụla n'ihi na onye edemede nke qmail rụrụ ụka na ọ bụ ihe ezi uche na-adịghị na ya ịmepụta nrigbu na-arụ ọrụ nke enwere ike iji wakpo usoro na nhazi ndabara. Qualys nwere ike ịkwadebe nrigbu nke na-agbagha echiche a ma na-enye mmadụ ohere ibido mkpochapụ koodu dịpụrụ adịpụ na sava site na izipu ozi ahaziri iche.
Ihe kpatara nsogbu a bụ njupụta nke integer na ọrụ stralloc_readyplus(), nke nwere ike ime mgbe ị na-ahazi ozi buru ibu. Ọrụ chọrọ sistemụ 64-bit nwere ihe karịrị 4GB nke ebe nchekwa mebere. Mgbe e bu ụzọ nyocha ihe ọghọm ahụ na 2005, Daniel J. Bernstein rụrụ ụka na echiche dị na koodu ahụ na nha nha nke ekenyela bụ mgbe niile n'ime uru 32-bit dabere n'eziokwu na ọ nweghị onye na-enye gigabytes nke ebe nchekwa na usoro ọ bụla. N'ime afọ 15 gara aga, sistemụ 64-bit na sava edochila sistemụ 32-bit, yana ọnụọgụ ebe nchekwa enyere na bandwidth netwọk abawanyela nke ukwuu.
Ndị na-echekwa ngwungwu qmail weere ndetu Bernstein wee kpachie ebe nchekwa dị mgbe ha na-amalite usoro qmail-smtpd (dịka ọmụmaatụ, na Debian 10 ka edobere oke ka 7MB). Mana ndị injinia sitere na Qualys chọpụtara na nke a ezughi oke yana, na mgbakwunye na qmail-smtpd, enwere ike ịme mwakpo dịpụrụ adịpụ na usoro qmail-local, nke nọgidere na-enweghị njedebe na ngwugwu niile a nwalere. Dị ka ihe akaebe, akwadoro ụdị nrigbu dabara adaba maka iji qmail wakpo ngwugwu Debian na nhazi ndabara.
Iji hazie ogbugbu koodu dịpụrụ adịpụ n'oge mwakpo, ihe nkesa ahụ chọrọ 4GB nke ohere diski efu yana 8GB nke RAM.
Nrigbu a na-enye gị ohere iji ikike nke onye ọrụ ọ bụla na sistemụ na-eji iwu shei ọ bụla, belụsọ maka ndị ọrụ mgbọrọgwụ na sistemụ na-enweghị akwụkwọ ndekọ aha nke ha na ndekọ “/ụlọ” (a na-eji ikike bido usoro qmail-local. nke onye ọrụ mpaghara nke a na-ebuga ya).
A na-eme mwakpo ahụ
site na izipu ozi ozi buru ibu, gụnyere ọtụtụ ahịrị nkụnye eji isi mee, na-atụ ihe dịka 4GB na 576MB. Ịhazi eriri dị otú ahụ na qmail-local na-ebute njupụta integer mgbe ị na-agbalị izigara onye ọrụ mpaghara ozi. Ntubiga integer na-eduga na njupụta nke nchekwa mgbe ị na-edegharị data yana ohere nke iji koodu libc degharịa ibe ebe nchekwa. Site n'ịgbanwe nhazi nke data ebutere, ọ ga-ekwe omume idegharị adreesị nke ọrụ "open()", dochie ya na adreesị nke ọrụ "usoro ()".
Na-esote, na usoro ịkpọ qmesearch () na qmail-local, a na-emepe faịlụ ".qmail-extension" site na ọrụ mepere emepe, nke na-eduga na mmezu nke ọrụ ahụ n'ezie.
usoro ("qmail-extension"). Mana ebe ọ bụ na a na-emepụta akụkụ "mgbakwunye" nke faịlụ ahụ dabere na adreesị onye nnata (dịka ọmụmaatụ, "locauser-extension@localdomain"), ndị na-awakpo nwere ike ịhazi maka iziga iwu ka ọ rụọ ọrụ site na ịkọwa onye ọrụ "localuser-; ;@localdomain” dị ka onye nnata ozi.
N'oge nyocha koodu ahụ, a chọpụtakwara adịghị ike abụọ na patch qmail-verify agbakwunyere, nke bụ akụkụ nke ngwugwu maka Debian. Nke mbụ adịghị ike () na-enye gị ohere ịgafe nkwenye adreesị ozi-e, na nke abụọ () na-eduga na ntapu nke ozi mpaghara. Karịsịa, adịghị ike nke mbụ na-enye gị ohere ịgafe nkwenye nke izi ezi nke adreesị eji eme ihe iji zipu iwu (nkwado ahụ anaghị arụ ọrụ maka adreesị na-enweghị ngalaba, dị ka "localuser-; iwu;"). Enwere ike iji adịghị ike nke abụọ chọpụta ọnụnọ faịlụ na akwụkwọ ndekọ aha na sistemụ, gụnyere ndị a na-enweta naanị mgbọrọgwụ (qmail-verify na-agba ọsọ na ikike mgbọrọgwụ), site na oku na-aga ozugbo onye njikwa mpaghara.
Iji rụọ ọrụ na nsogbu ahụ, Bernstein tụrụ aro ka ịme usoro qmail yana oke oke na ebe nchekwa dị ("softlimit -m12345678"), ebe a na-egbochi nsogbu ahụ. Dị ka usoro nchebe ọzọ, na-amachi oke nke ozi ahaziziri site na faịlụ "njikwa/databytes" (na ndabara emeghị ya na ntọala ndabere qmail na-anọgide na-adịghị ike). Na mgbakwunye, "njikwa/databytes" anaghị echebe megide mwakpo mpaghara site n'aka ndị ọrụ sistemụ, ebe ọ bụ naanị qmail-smtpd na-eburu oke n'uche.
Nsogbu na-emetụta ngwugwu , gụnyere na ebe nchekwa Debian. Edobere otu patches maka ngwungwu a, na-ewepụ adịghị ike ochie abụọ site na 2005 (site n'itinye oke ebe nchekwa siri ike na koodu ọrụ alloc() na nsogbu ọhụrụ na qmail-verify. Iche iche ụdị emelitere nke qmail-verify patch. Ndị mmepe kwadebere patches nke ha iji gbochie nsogbu ochie, ma malitekwa ịrụ ọrụ iji kpochapụ integer niile nwere ike ime na koodu.
isi: opennet.ru