Unix和Linux管理员须立即升级Sendmail
发布日期: 2001-8-29
【NSFOCUS 消息】

　　Newsbytes 8月27日报道，安全专家和Linux等Unix系列操作软件的厂商们纷纷敦促各位网络管理员升级一些常见的email服务器软件Sendmail，以修复这种公开源码软件中的一个可被本地黑客利用的安全漏洞。

　　由于攻击者必须能对服务器进行命令行访问，所以象ISP和校园网这些经常提供用户shell访问的机构受此漏洞影响最大。

　　安全分析员Cade Cairns上周报告说能够访问受影响的Sendmail系统的黑客可以通过提交畸形命令获得管理员访问权限。此后，其他人也编写了可以演示自动攻击过程的软件。

　　“要利用这一漏洞，攻击者必须能够向Sendmail程序发送命令行指令，”Cairns在接受Newsbytes采访时说到，“因此，发动攻击时攻击者必须利用一些允许发送系统命令的接口 -- 一般来说是shell或者甚至是某种web接口。”

　　Cairns指出一些ISP可能会允许Web作者编写和上传一些可以访问Sendmail的脚本。

　　Sendmail自20世纪80年代以来就作为Unix服务器的常用配置而在互联网上广为普及。它是一种公开源码的软件，其开发机构Sendmail Consortium的软件产品适用于各种Unix和Linux系统，并能从其网站上下载。

　　根据Cairns的报告，这一漏洞存在于8.10.0到8.11.5的版本中，所有beta版的11.12.0也受影响。

　　为此问题，该机构发布了一个新版软件(version 8.11.6)和一个更安全的beta版本(8.12.0.Beta19)。

　　另外，一些Linux厂商，包括SuSE和Conectiva等，也已经发布了一个含有修正版Sendmail的安全补丁。

　　Cairns表示，调试模式漏洞可以追溯到1994年，而这个漏洞是Sendmail自1997年以来第一个被发现的安全漏洞。

(NSFOCUS Cindya译)