Awọn oniwadi aabo lati Qualys anfaani awọn ailagbara ninu olupin qmail, pada ni 2005 (CVE-2005-1513), ṣugbọn wà unpatched nitori awọn onkowe ti qmail jiyan wipe o je otitọ.O a ṣẹda a nilokulo ti o le ṣee lo lati kolu awọn ọna šiše ni aiyipada iṣeto ni. Qualys ni anfani lati mura ilokulo ti o tako arosinu yii ati gba eniyan laaye lati pilẹṣẹ ipaniyan koodu latọna jijin lori olupin nipasẹ fifiranṣẹ ifiranṣẹ ti a ṣe apẹrẹ pataki kan.
Iṣoro naa ṣẹlẹ nipasẹ odidi aponsedanu ninu iṣẹ stralloc_readyplus (), eyiti o le waye nigbati o ba n ṣiṣẹ ifiranṣẹ nla kan. Iṣiṣẹ nilo eto 64-bit pẹlu diẹ ẹ sii ju 4GB ti iranti foju. Nigbati a ti ṣe atupale ailagbara ni akọkọ ni 2005, Daniel J. Bernstein jiyan pe arosinu ninu koodu pe iwọn titobi ti a pin ni nigbagbogbo laarin iye 32-bit da lori otitọ pe ko si ẹnikan ti o pese gigabytes ti iranti si ilana kọọkan. Ni awọn ọdun 15 sẹhin, awọn eto 64-bit lori awọn olupin ti rọpo awọn eto 32-bit, ati iye iranti ti a pese ati bandiwidi nẹtiwọọki ti pọ si pupọ.
Awọn olutọju package qmail mu akọsilẹ Bernstein sinu akọọlẹ ati fi opin si iranti ti o wa nigbati o bẹrẹ ilana qmail-smtpd (fun apẹẹrẹ, ni Debian 10 opin ti ṣeto si 7MB). Ṣugbọn awọn onimọ-ẹrọ lati Qualys rii pe eyi ko to ati, ni afikun si qmail-smtpd, ikọlu latọna jijin le ṣee ṣe lori ilana agbegbe qmail, eyiti o wa ni ihamọ ni gbogbo awọn idii idanwo. Gẹgẹbi ẹri, a ti pese apẹrẹ ilokulo ti o dara fun ikọlu package Debian pẹlu qmail ni iṣeto aiyipada.
Lati ṣeto ipaniyan koodu latọna jijin lakoko ikọlu, olupin naa nilo 4GB ti aaye disk ọfẹ ati 8GB ti Ramu.
Iwa nilokulo naa gba ọ laaye lati ṣiṣe awọn aṣẹ ikarahun eyikeyi pẹlu awọn ẹtọ ti olumulo eyikeyi ninu eto, ayafi fun gbongbo ati awọn olumulo eto ti ko ni iwe-itọka ti ara wọn ninu ilana “/ ile” (ilana qmail-agbegbe ti ṣe ifilọlẹ pẹlu awọn ẹtọ. ti olumulo agbegbe ti o ti gbejade ifijiṣẹ).
Awọn kolu ti wa ni ti gbe jade
nipasẹ fifiranṣẹ ifiranṣẹ imeeli ti o tobi pupọ, pẹlu ọpọlọpọ awọn laini akọsori, iwọn to 4GB ati 576MB. Ṣiṣẹda iru okun ni awọn abajade agbegbe qmail ni odidi aponsedanu nigba igbiyanju lati fi ifiranṣẹ ranṣẹ si olumulo agbegbe. Àkúnwọ́sílẹ̀ odidi kan lẹhinna yori si aponsedanu ifipamọ nigba didakọ data ati iṣeeṣe ti atunkọ awọn oju-iwe iranti pẹlu koodu libc. Nipa ifọwọyi iṣeto ti data ti a firanṣẹ, o tun ṣee ṣe lati tun-kọ adirẹsi ti iṣẹ “ṣii ()”, rọpo pẹlu adirẹsi ti iṣẹ “eto ()”.
Nigbamii ti, ninu ilana ti pipe qmesearch () ni qmail-agbegbe, faili ".qmail-extension" wa ni ṣiṣi nipasẹ iṣẹ-ìmọ (), eyiti o nyorisi ipaniyan gangan ti iṣẹ naa.
eto ("qmail-itẹsiwaju"). Ṣugbọn niwọn igba ti apakan “itẹsiwaju” ti faili naa ti jẹ ipilẹṣẹ ti o da lori adirẹsi olugba (fun apẹẹrẹ, “locauser-extension@localdomain”), awọn ikọlu le ṣeto fun aṣẹ lati firanṣẹ lati ṣiṣẹ nipa sisọ olumulo naa “localuser-; aṣẹ ; @ localdomain "gẹgẹbi olugba ifiranṣẹ naa.
Lakoko itupalẹ koodu, awọn ailagbara meji ni a tun ṣe idanimọ ni afikun qmail-verify patch, eyiti o jẹ apakan ti package fun Debian. Ailagbara akọkọ () gba ọ laaye lati fori ijẹrisi adirẹsi imeeli, ati keji () nyorisi jijo ti alaye agbegbe. Ni pataki, ailagbara akọkọ gba ọ laaye lati fori ijẹrisi ti deede ti adirẹsi ti a lo ninu ilokulo lati fi aṣẹ ranṣẹ (ijẹrisi ko ṣiṣẹ fun awọn adirẹsi laisi aaye kan, bii “localuser-; aṣẹ;”). Ailagbara keji le ṣee lo lati ṣayẹwo wiwa awọn faili ati awọn ilana lori eto naa, pẹlu awọn ti o wa si gbongbo nikan (qmail-verify run pẹlu awọn ẹtọ gbongbo), nipasẹ ipe taara si oluṣakoso agbegbe.
Lati ṣiṣẹ ni ayika iṣoro naa, Bernstein ṣe iṣeduro ṣiṣe awọn ilana qmail pẹlu opin lapapọ lori iranti ti o wa ("softlimit -m12345678"), ninu eyiti o ti dinamọ iṣoro naa. Gẹgẹbi ọna aabo miiran, diwọn iwọn ti o pọju ti ifiranṣẹ ti a ṣe ilana nipasẹ faili “Iṣakoso/databytes” tun mẹnuba (nipasẹ aiyipada ko ṣẹda pẹlu awọn eto aiyipada qmail jẹ ipalara). Ni afikun, “Iṣakoso/databytes” ko ṣe aabo lodi si awọn ikọlu agbegbe lati ọdọ awọn olumulo eto, nitori opin nikan ni a gba sinu akọọlẹ nipasẹ qmail-smtpd.
Iṣoro naa ni ipa lori package , to wa ninu awọn ibi ipamọ Debian. A ti pese awọn abulẹ kan fun package yii, imukuro mejeeji awọn ailagbara atijọ lati ọdun 2005 (nipa ṣafikun awọn opin iranti lile si koodu iṣẹ alloc () ati awọn iṣoro tuntun ni qmail-ṣayẹwo. Lọtọ imudojuiwọn version of qmail-jẹrisi alemo. Awọn olupilẹṣẹ Ṣetan awọn abulẹ tiwọn lati ṣe idiwọ awọn iṣoro atijọ, ati tun bẹrẹ ṣiṣẹ lati yọkuro gbogbo awọn ṣiṣan odidi odidi ti o ṣeeṣe ninu koodu naa.
orisun: opennet.ru