ืืืืขืจืืืื ืจืืกืขืจืืฉืขืจื ืคืื Qualys ืืขืืขืื ืืืึทื ืืืึทืื ืขืจืึทืืืืืืื ืืื ืื qmail ืคึผืึธืกื ืกืขืจืืืขืจ, ืฆืืจืืง ืืื 2005 (CVE-2005-1513), ืึธืืขืจ ืืื ืคืืจืืืืื ืึทื ืคึผืึทืืฉื ืืืืึทื ืืขืจ ืืืืจ ืคืื qmail ืึทืจืืืื ืึทื ืขืก ืืื ืึทื ืจืืืืกืืืง ืฆื ืฉืึทืคึฟื ืึท ืืจืืขืื ืืืืืจืข ืืืึธืก ืงืขื ืืืื ืืขืืืืื ื ืฆื ืืึทืคืึทืื ืกืืกืืขืืขื ืืื ืื ืคืขืืืงืืึทื ืงืึทื ืคืืืืขืจืืืฉืึทื. Qualys ืืื ืืขืืืขื ืืืืืืช ืฆื ืฆืืืจืืืื ืึท ืืืืืจืข ืืืึธืก ืจืืคืืืฅ ืืขื ืืึทืฉืึธืจืข ืืื ืึทืืึทืื ืืืจ ืฆื ืึธื ืืืืื ืื ืืืจืืคืืจืื ื ืคืื ืื ืืืืึทื ืงืึธื ืืืืฃ ืื ืกืขืจืืืขืจ ืืืจื ืฉืืงื ืึท ืกืคึผืขืฉืื ืืืืืื ื ืึธื ืืึธื.
ืืขืจ ืคึผืจืึธืืืขื ืืื ืืขืคึฟืืจื ืืืจื ืึท ืื ืืึทืืืฉืขืจ ืืืืคื ืืื ืื stralloc_readyplus () ืคึฟืื ืงืฆืืข, ืืืึธืก ืงืขื ืคึผืึทืกืืจื ืืืขื ืคึผืจืึทืกืขืกืื ื ืึท ืืืืขืจ ืืจืืืก ืึธื ืืึธื. ืึธืคึผืขืจืึทืฆืืข ืคืืจืืื ืื ืึท 64-ืืืกื ืกืืกืืขื ืืื ืืขืจ ืืื 4GB ืคืื ืืืืจืืืึทื ืืึผืจืื. ืืืขื ืื ืืืึทืื ืขืจืึทืืืืืื ืืื ืขืจืืืืฉื ืึทืื ืึทื ืึทืืืืื ืืื 2005, Daniel J. Bernstein ืึทืจืืืื ืึทื ืื ืืึทืฉืึธืจืข ืืื ืื ืงืึธื ืึทื ืื ืืจืืืก ืคืื ืื ืึทืืึทืงืืืืื ืืขื ืืข ืืื ืฉืืขื ืืืง ืื 32-ืืืกื ืืืขืจื ืืื ืืืืืจื ืืืืฃ ืื ืคืึทืงื ืึทื ืงืืื ืืืื ืขืจ ืืื ืืืืืืืื ืคืื ืืึผืจืื ืฆื ืืขืืขืจ ืคึผืจืึธืฆืขืก. ืืื ืื ืืขืฆืืข 15 ืืึธืจ, 64-ืืืกื ืกืืกืืขืืขื ืืืืฃ ืกืขืจืืืขืจืก ืืึธืื ืจืืคึผืืืืกื 32-ืืืกื ืกืืกืืขืืขื, ืืื ืื ืกืืืข ืคืื โโโโืกืึทืคึผืืืื ืืึผืจืื ืืื ื ืขืฅ ืืึทื ืืืืืื ืืื ืืจืึทืืึทืืืงืื ืืขืืืืงืกื.
ืื qmail ืคึผืขืงื ืืึทืื ืืขืจืืืืขืจื ืืขื ืืืขื ืืขืจื ืฉืืืื ืก ืืึธื ืืื ืืฉืืื ืืื ืืืืืืขื ืื ืื ืืืฆื ืืึผืจืื ืืืขื ืกืืึทืจืืื ื ืื qmail-smtpd ืคึผืจืึธืฆืขืก (ืืืฉื, ืืื ืืขืืืึทื 10 ืื ืฉืืขืืจ ืืื ืืึทืฉืืืื ืฆื 7MB). ืึธืืขืจ ืขื ืืืฉืึทื ืืจื ืคืื ืงืืืึทืืืก ืืขืคืื ืขื ืึทื ืืึธืก ืืื ื ืืฉื ืืขื ืื ืืื ืืื ืึทืืืฉืึทื ืฆื qmail-smtpd, ืึท ืืืืึทื ืืึทืคืึทืื ืงืขื ืขื ืืืื ืืืจืืืขืงืึธืื ืืืืฃ ืื qmail-ืืืงืืืข ืคึผืจืึธืฆืขืก, ืืืึธืก ืืื ืืขืืืืื ืึทื ืจืืกืืจืืงืืื ืืื ืึทืืข ืืขืกืืขื ืคึผืึทืงืึทืืืฉืึทื. ืืื ืืขืจืืืืึทื, ืึท ืคึผืจืึธืืืึทืืืืคึผ ืืื ืืขืืืขื ืฆืืืขืืจืืื ืืืึธืก ืืื ืคึผืึทืกืืง ืคึฟืึทืจ ืึทืืึทืงืื ื ืื ืืขืืืึทื ืคึผืขืงื ืืื qmail ืืื ืื ืคืขืืืงืืึทื ืงืึทื ืคืืืืขืจืืืฉืึทื.
ืฆื ืึธืจืืึทื ืืืืจื ืืืืึทื ืงืึธื ืืืจืืคืืจืื ื ืืขืฉืึทืก ืึท ืืึทืคืึทืื, ืืขืจ ืกืขืจืืืขืจ ืจืืงืืืืืขืจื 4 ืื ืคืื ืคืจืื ืืืกืง ืคึผืืึทืฅ ืืื 8 ืื ืคืื ืืึทืจืึทื.
ืื ืืืืืจืข ืึทืืึทืื ืืืจ ืฆื ืืืืคื ืงืืื ืฉืึธื ืงืึทืืึทื ืื ืืื ืื ืจืขืื ืคืื ืงืืื ืืึทื ืืฆืขืจ ืืื ืื ืกืืกืืขื, ืึทืืืฅ ืคึฟืึทืจ ืืืึธืจืฆื ืืื ืกืืกืืขื ืืืืขืจื ืืืึธืก ืืึธื ื ืื ืืึธืื ืืืืขืจ ืืืืืขื ืข ืกืืืืืจืขืงืืึธืจื ืืื ืื "/ ืืืื" ืืืขืืืืืึทืืขืจ (ืื qmail-ืืึธืงืึทื ืคึผืจืึธืฆืขืก ืืื ืืึธื ืืฉื ืืื ืื ืจืขืื. ืคืื ืื ืืืืข ืืึทื ืืฆืขืจ ืฆื ืืืขืืขื ืขืงืกืคึผืจืขืก ืืื ืืืจืืืขืงืึธืื).
ืื ืืืืงืข ืืืขืจื ืืืจืืืขืคืืจื
ืืืจื ืฉืืงื ืึท ืืืืขืจ ืืจืืืก ืคึผืึธืกื ืึธื ืืึธื, ืึทืจืืึทื ืืขืจืขืื ื ืขืืืขืืข ืืขืืขืจ ืฉืืจืืช, ืืขืกืื ืืขืขืจืขื 4 ืื ืืื 576 ืื. ืคึผืจืึทืกืขืกืื ื ืึทืืึท ืึท ืฉืืจืืงื ืืื qmail-local ืจืืืึทืืืื ืืื ืึท ืื ืืึทืืืฉืขืจ ืืืืคื ืืืขื ืืืจ ืคึผืจืืืื ืฆื ืฆืืฉืืขืื ืึท ืึธื ืืึธื ืฆื ืื ืืืืข ืืึทื ืืฆืขืจ. ืึท ืื ืืึทืืืฉืขืจ ืึธืืืืขืจืคืืึธื ืืขืืึธืื ืคืืจื ืฆื ืึท ืืึทืคืขืจ ืึธืืืืขืจืคืืึธื ืืืขื ืงืึทืคึผืืื ื ืืึทืื ืืื ืื ืืขืืืขืืงืืื ืคืื ืึธืืืืขืจืจืืืืื ื ืืึผืจืื ืืืขืืขืจ ืืื ืืืืง ืงืึธื. ืืืจื ืืึทื ืืคึผืืึทืืืืืื ื ืื ืืืืกืืืื ืคืื ืื ืืจืึทื ืกืืืืืขื ืืึทืื, ืขืก ืืื ืืืื ืืขืืืขื ืฆื ืจืืจืืื ืื ืึทืืจืขืก ืคืื ืื "ืขืคืขื ืขื ()" ืคึฟืื ืงืฆืืข, ืจืืคึผืืืืกืื ื ืขืก ืืื ืื ืึทืืจืขืก ืคืื ืื "ืกืืกืืขื ()" ืคึฟืื ืงืฆืืข.
ืืขืจื ืึธื, ืืื ืืขื ืคึผืจืึธืฆืขืก ืคืื ืจืืคื qmesearch() ืืื qmail-local, ืื ืืขืงืข ".qmail-extension" ืืื ืืขืขืคื ื ืืืจื ืื open() ืคึฟืื ืงืฆืืข, ืืืึธืก ืคืืจื ืฆื ืื ืคืึทืงืืืฉ ืืืจืืคืืจืื ื ืคืื ืื ืคึฟืื ืงืฆืืข.
ืกืืกืืขื(.qmail-ืคืึทืจืืขื ืืขืจืื ื"). ืึธืืขืจ ืืื ื ืื "ืคืึทืจืืขื ืืขืจืื ื" ืืืื ืคืื ืืขืจ ืืขืงืข ืืื ืืืฉืขื ืขืจืืืืึทื ืืืืืจื ืืืืฃ ืื ืึทืืจืขืก ืคืื ืื ืืึทืงืืืขืจ (ืืืฉื, "localuser-extension@localdomain"), ืึทืืึทืงืขืจื ืงืขื ืขื ืฆืืืืืื ืื ืืึทืคึฟืขื ืฆื ืืืืคื ืืืจื ืกืคึผืขืฆืืคืืฆืืจื ืื ืืึทื ืืฆืขืจ "localuser-; ;@localdomain" ืืื ืืขืจ ืืึทืงืืืขืจ ืคืื ืืขื ืึธื ืืึธื.
ืืขืฉืึทืก ืื ืงืึธื ืึทื ืึทืืืกืืก, ืฆืืืื ืืืึทืื ืขืจืึทืืืืืืื ืืขื ืขื ืืืื ืืืืขื ืึทืคืืื ืืื ืื ื ืึธื qmail-verify ืืึทืืข, ืืืึธืก ืืื ืืืื ืคืื ืื ืคึผืขืงื ืคึฟืึทืจ ืืขืืืึทื. ืขืจืฉืืขืจ ืืืึทืื ืขืจืึทืืืืืื () ืึทืืึทืื ืืืจ ืฆื ืืืืคึผืึทืก E- ืืจืืื ืึทืืจืขืก ืืืขืจืึทืคืึทืงืืืฉืึทื, ืืื ืื ืจืืข () ืคืืจื ืฆื ืืืงืึทืืืฉ ืคืื ืืืืข ืืื ืคึฟืึธืจืืึทืฆืืข. ืืื ืืึทืืื ืืขืจ, ืืขืจ ืขืจืฉืืขืจ ืืืึทืื ืขืจืึทืืืืืื ืึทืืึทืื ืืืจ ืฆื ืืืืคึผืึทืก ืื ืืืขืจืึทืคืึทืงืืืฉืึทื ืคืื ืื ืงืขืจืขืงืื ืึทืก ืคืื ืื ืึทืืจืขืก ืืขื ืืฆื ืืื ืื ืืืืืจืข ืฆื ืฉืืงื ืึท ืืึทืคึฟืขื (ืื ืืืขืจืึทืคืึทืงืืืฉืึทื ืืื ื ืืฉื ืึทืจืืขืื ืคึฟืึทืจ ืึทืืจืขืกืขืก ืึธื ืึท ืคืขืื, ืึทืืึท ืืื "localuser-;command;"). ืื ืฆืืืืืืข ืืืึทืื ืขืจืึทืืืืืื ืงืขื ืขื ืืืขืจื ืืขื ืืฆื ืฆื ืงืึธื ืืจืึธืืืจื ืื ืืืึทืืืึทื ืคืื ืืขืงืขืก ืืื ืืืืจืขืงืืขืจืื ืืืืฃ ืื ืกืืกืืขื, ืึทืจืืึทื ืืขืจืขืื ื ืื ืฆืืืจืืืืขื ืืืืื ืฆื ืืืึธืจืฆื (qmail-verify ืืืืคื ืืื ืืืึธืจืฆื ืจืขืื), ืืืจื ืึท ืืืจืขืงื ืจืืคื ืฆื ืื ืืืืข ืืึทื ืืืขืจ.
ืฆื ืืืกืืืืื ืืขื ืคึผืจืึธืืืขื, Bernstein ืจืขืงืึทืืขื ืืื ืฆื ืืืืคื qmail ืคึผืจืึทืกืขืกืึทื ืืื ืึท ืืึทื ืฅ ืืืืื ืคืื ืื ืืืฆื ืืึผืจืื ("ืกืึธืคืืืืืื -m12345678"), ืืื ืืืึธืก ืคืึทื ืื ืคึผืจืึธืืืขื ืืื ืืคืืขืฉืืขืื. ืืื ืึทื ืึธืืืขืจื ืึทืืืื ืืืคึฟื ืคืื ืฉืืฅ, ืืืืืืื ื ืื ืืึทืงืกืืืื ืืจืืืก ืคืื ืื ืคึผืจืึทืกืขืกื ืึธื ืืึธื ืืืจื ืื "ืงืึธื ืืจืึธื / ืืึทืืึทืืืืขืก" ืืขืงืข ืืื ืืืื ืืขืจืืื ื (ืืืจื ืคืขืืืงืืึทื ืขืก ืืื ื ืืฉื ืืืฉืืคื ืืื ืคืขืืืงืืึทื ืกืขืืืื ืืก qmail ืืืืืื ืฉืคึผืืจืขืืืืืง). ืึทืืืืืืึธื ืึทืืื, "ืงืึธื ืืจืึธื / ืืึทืืึทืืืืขืก" ืืื ื ืืฉื ืืึทืฉืืฆื ืงืขืื ืืืืข ืื ืคืืื ืคืื ืกืืกืืขื ื ืืฆืขืจืก, ืืืืึทื ืื ืฉืืขืืจ ืืื ืืืืื ืืขื ืืืขื ืืื ืืฉืืื ืืืจื qmail-smtpd.
ืืขืจ ืคึผืจืึธืืืขื ืึทืคืขืงืฅ ืื ืคึผืขืงื , ืึทืจืืึทื ืืขืจืขืื ื ืืื ืื ืืขืืืึทื ืจืืคึผืึทืืึทืืึธืจืื. ื ืกืืื ืคืื ืคึผืึทืืฉืึทื ืืื ืฆืืืขืืจืืื ืคึฟืึทืจ ืืขื ืคึผืขืงื, ืืืืืึทื ืืืืื ื ืืืืืข ืึทืื ืืืึทืื ืขืจืึทืืืืืืื ืคึฟืื 2005 (ืืืจื ืึทืืื ื ืฉืืืขืจ ืืึผืจืื ืืืืึทืฅ ืฆื ืื ืึทืืึทืง () ืคึฟืื ืงืฆืืข ืงืึธื) ืืื ื ืืึทืข ืคึผืจืึธืืืขืืก ืืื qmail-verify. ืกืขืคึผืขืจืึทืืื ืืขืจืืืึทื ืืืงื ืืืขืจืกืืข ืคืื โโโโืื qmail-verify ืืึทืืข. ืืขืืืขืืึธืคึผืขืจืก ืฆืืืขืืจืืื ืืืืขืจ ืืืืืขื ืข ืคึผืึทืืฉืึทื ืฆื ืคืึทืจืฉืคึผืึทืจื ืึทืื ืคึผืจืึธืืืขืืก, ืืื ืืืื ืกืืึทืจืืขื ืืจืืขืื ืฆื ืขืืืืื ืืจื ืึทืืข ืืขืืืขื ืื ืืึทืืืฉืขืจ ืึธืืืืขืจืคืืึธืื ืืื ืื ืงืึธื.
ืืงืืจ: opennet.ru