Abo
  • Services:
Anzeige

Sicherheitslücken im MTA Postfix

Spezielle Envelope-Adressen könne Postfix außer Gefecht setzen

Michal Zalewski weist auf zwei Sicherheitslücken im MTA Postfix hin, die Angreifen Denial-of-Service-Angriffe auf die Systeme ermöglichen. Schuld an den Problemen ist das Adress-Parsing von Postfix 1.1. Die aktuelle Version 2.0 ist von den Problemen nicht betroffen, allerdings ist die ältere Version 1.1 noch auf vielen Systemen im Einsatz und wird mit zahlreichen Linux-Distributionen ausgeliefert.

Anzeige

So lässt sich zum einen mit einer speziell formatierten Envelope-Adresse das Programm "nqmgr" permanent blockieren, bis die entsprechende E-Mail aus der Mail-Queue gelöscht wird. Weitere E-Mails können derweil von Postfix nicht bearbeitet werden.

Zum anderen ist es möglich, durch eine entsprechende Envelope-Adresse eine einzelne Instanz des SMTP-Listeners in einen unbrauchbaren Zustand zu versetzen, die auch anhält, nachdem der Client die Verbindung beendet hat. Durch mehrfache Wiederholungen lässt sich der MTA oder auch das ganze System außer Gefecht setzen.

Abhilfe schafft unter anderem ein Update auf Postfix 2.0, bei dem der Code zum Parsen der Adressen grundlegend verändert wurde. Zudem soll eine Version 1.1.13 von Postfix erscheinen, aber Zalewski weist in seiner E-Mail auch auf Workarounds hin, mit denen sich die Probleme umgehen lassen.


eye home zur Startseite
LP 04. Aug 2003

Also da ist fast nix anderes an der config, solltest du evtl 1:1 übernehmen können. Zum...

stoph 04. Aug 2003

ich würde auch sagen, dass qmail+vpopmail wesentlich sicherer und "professioneller" ist...

bazik 04. Aug 2003

Kein Backup System zum testen vorhanden? Ich hab die 2.0.3 hier laufen... funzt...

Stephan 04. Aug 2003

Jemand eine Anleitung fuer einen Update von 1.1.X auf 2.X ? Geht das ohne config...

NewJorg 04. Aug 2003

Profis nehmen sendmail? sehr interessant, is ja was ganz neues. Also als Profis würde...



Anzeige

Stellenmarkt
  1. AOK - Die Gesundheitskasse für Niedersachsen, Hannover
  2. Robert Bosch GmbH, Leonberg
  3. IT2media GmbH & Co.KG, Nürnberg
  4. über Hays AG, Nordrhein-Westfalen


Anzeige
Hardware-Angebote
  1. 18,99€ statt 39,99€
  2. 6,99€
  3. 29,99€ + 5,99€ Versand (günstiger als die schlechtere Nicht-PCGH-Version)

Folgen Sie uns
       

  1. Kabelnetz

    Statt auf Docsis 3.1 lieber gleich auf Glasfaser setzen

  2. Virtuelle Güter

    Activision patentiert Förderung von Mikrotransaktionen

  3. Nervana Neural Network Processor

    Intels KI-Chip erscheint Ende 2017

  4. RSA-Sicherheitslücke

    Infineon erzeugt Millionen unsicherer Krypto-Schlüssel

  5. The Evil Within 2 im Test

    Überleben in der Horror-Matrix

  6. S410

    Getacs modulares Outdoor-Notebook bekommt neue CPUs

  7. Smartphone

    Qualcomm zeigt 5G-Referenz-Gerät

  8. Garmin Speak

    Neuer Alexa-Lautsprecher fürs Auto zeigt den Weg an

  9. Datenrate

    Kunden wollen schnelle Internetzugänge

  10. Essential Phone im Test

    Das essenzielle Android-Smartphone hat ein Problem



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Dokumentarfilm Pre-Crime: Wenn Computer Verbrechen vorhersagen
Dokumentarfilm Pre-Crime
Wenn Computer Verbrechen vorhersagen

Programmiersprache für Android: Kotlin ist auch nur eine Insel
Programmiersprache für Android
Kotlin ist auch nur eine Insel
  1. Programmiersprache Fetlang liest sich "wie schlechte Erotikliteratur"
  2. CMS Drupal 8.4 stabilisiert Module
  3. Vespa Yahoos Big-Data-Engine wird Open-Source-Projekt

Core i7-8700K und Core i5-8400 im Test: Ein Sechser von Intel
Core i7-8700K und Core i5-8400 im Test
Ein Sechser von Intel
  1. Core i7-8700K Ultra Edition Overclocking-CPU mit Silber-IHS und Flüssigmetall
  2. Intel Coffee Lake Von Boost-Betteln und Turbo-Tricks
  3. Coffee Lake Intel verkauft sechs Kerne für unter 200 Euro

  1. Re: Akkus des E-Golfs und Motorleistung eines Teslas

    Azzuro | 18:47

  2. Re: Und trotzdem hat die Telekom viel gewonnen

    Labbm | 18:46

  3. Re: Wenns nicht reicht, dann Preise erhöhen.

    Der Held vom... | 18:45

  4. Re: Macht da bitte nicht mit

    MysticaX | 18:44

  5. Kosten ...

    DAUVersteher | 18:41


  1. 17:40

  2. 17:02

  3. 16:35

  4. 15:53

  5. 15:00

  6. 14:31

  7. 14:16

  8. 14:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel