OpenSMTPD Безопасность

OpenSMTPD разрабатывается с такой же строгостью к вопросам безопасности, которым славится сама OpenBSD. Если вы хотите сообщить о проблеме безопасности в OpenSMTPD, пожалуйста отправьте письмо в специальную для этого рассылку разработчиков <opensmtpd-security@openbsd.org>.

Ознакомтесь с материалом по теме безопасности в OpenBSD.

• Известные проблемы безопасности в OpenSMTPD 6.6.4

  В OpenSMTPD 6.6.4 было найдено несколько проблем безопасности — все они уже исправлены в нашем репозитории, а также в новых снапшотах и релизах, начиная с версии 6.6.4.

  • 24 февраля 2020: An out of bounds read in smtpd allows an attacker to inject arbitrary commands into the envelope file which are then executed as root. Separately, missing privilege revocation in smtpctl allows arbitrary commands to be run with the _smtpq group.

• Известные проблемы безопасности в OpenSMTPD 6.6.1

  В OpenSMTPD 6.6.1 было найдено несколько проблем безопасности — все они уже исправлены в нашем репозитории, а также в новых снапшотах и релизах, начиная с версии 6.6.2. Затронуты все версии с 6.4.0 и до 6.6.1 включительно.

  • 28 января 2020: An incorrect check allows an attacker to trick mbox delivery into executing arbitrary commands as root and lmtp delivery into executing arbitrary commands as an unprivileged user.

• Известные проблемы безопасности в OpenSMTPD 5.4.5

  В OpenSMTPD 5.4.5 были найдены проблемы безопасности — все эти проблемы уже исправлены в нашем репозитории, а также в новых снапшотах и релизах.

  • 19 июня 2015: A logic error can allow a local user to crash the server.
  • 1 октября 2015: Fix multiple reliability and security issues in smtpd.

• Известные проблемы безопасности в OpenSMTPD 5.4.4

  В OpenSMTPD 5.4.4 были найдены проблемы безопасности — все эти проблемы уже исправлены в нашем репозитории, а также в новых снапшотах и релизах.

  • 17 апреля 2015: OpenSMTPD's SSL layer has a bug in the handling of SNI negotiation which can lead to an attacker causing an invalid certificate being presented to a concurrent session, a client disconnect or a server crash.

• Известные проблемы безопасности в OpenSMTPD 5.3.1

  В OpenSMTPD 5.3.1 были найдены проблемы безопасности — все эти проблемы уже исправлены в нашем репозитории, а также в новых снапшотах и релизах.

  • 16 мая 2013: OpenSMTPD's SSL layer has a bug in the IO events handler which can cause an evil client or server to hang all active SSL sessions until they timeout, causing a DoS in smtp and transfer processes.