Разработчики почтового сервера Postfix выпустили обновления для всех поддерживаемых веток, а также для нескольких устаревших версий. Релизы закрывают двенадцать уязвимостей различной степени критичности, найденных исследователями из Qualys совместно с языковой моделью Claude Mythos Preview. Среди проблем - удалённый отказ в обслуживании, повреждение памяти, а также локальные крахи и чтение данных вне выделенных буферов. Команда Postfix рекомендует администраторам как можно скорее установить обновлённые сборки.
Детали уязвимостей
Наибольшую опасность представляют уязвимости, позволяющие удалённому атакующему вызвать отказ в обслуживании без аутентификации. Одна из них затрагивает подсистему postscreen: при обработке входящих данных после неудачной проверки PREGREET или DNSBL возникает состояние исчерпания памяти. Проблема была внесена в код ещё в 2009 году. Другая уязвимость отказа в обслуживании связана с файловой системой: при включённом smtpd_proxy_filter сервер не проверял лимит размера сообщения для строк From_, что позволяло злоумышленнику исчерпать дисковое пространство. Без этого фильтра ограничение всё же накладывалось процессом cleanup, но вектор атаки оставался возможным в конкретной конфигурации.
Особое внимание привлекают уязвимости, способные привести к повреждению кучи и стека. Например, в модуле LDAP при обработке ошибок в конфигурации special_result_attribute происходит двойной вызов ldap_msgfree, что ведёт к порче кучи, если атакующий контролирует LDAP-сервер или может выполнять атаку типа "человек посередине". Аналогичная проблема обнаружена в Milter-клиенте: при включённом soft_bounce=yes и неверном ответе SMFIR_REPLYCODE возможна запись одного байта за пределами выделенной области. Ещё один баг - отсутствие нулевого терминатора в процессе postlogd при противоречивых настройках maillog_file позволяет непривилегированному локальному пользователю записывать нулевые байты в стек и потенциально повысить привилегии до уровня пользователя postfix.
Кроме того, исправлены несколько ситуаций, приводящих к панике сервера: переполнение стека при обработке рекурсивных :include:-файлов в механизме псевдонимов (уязвимость существует с 1997 года), а также чтение после освобождения в демоне showq, которое мог спровоцировать локальный пользователь с помощью специально сформированного сообщения. В демоне TLSRPT обнаружено разыменование нулевого указателя из-за отсутствия обёрток STR_OR_NULL(). Четыре проблемы связаны с выходом за границы кучи при обработке ответов Milter и файлов очереди; хотя объём утечки ограничен, они демонстрируют системные недочёты в управлении памятью.
В официальном объявлении основатель Postfix Вьетсе Венема отметил, что число ошибок может показаться большим, но с учётом объёма кодовой базы - около 150 тысяч строк - их плотность ниже той, на которую он рассчитывал при проектировании архитектуры. "Я знал, что ошибки будут. Именно поэтому Postfix имеет свою архитектуру и защитные сети", - добавил он. Qualys обнаружила дефекты с помощью ИИ-ассистента Claude Mythos Preview, что подчёркивает растущую роль автоматизированных инструментов в аудите безопасности.
Postfix - один из самых распространённых почтовых серверов в интернете, используемый как хостинг-провайдерами, так и крупными корпорациями. Уязвимости, позволяющие удалённый отказ в обслуживании, могут нарушить работу почтовой инфраструктуры, а локальное повреждение памяти даёт возможность злоумышленникам с ограниченным доступом повысить привилегии. Поэтому обновление рекомендуется провести незамедлительно на всех серверах, независимо от версии.
Администраторам следует загрузить актуальные исходные коды Postfix: 3.11.5 для основной ветки, 3.10.12, 3.9.13, 3.8.19, 3.7.21, 3.6.19 и 3.5.26 для устаревших выпусков. Важно учитывать, что для версий 3.5-3.7, которые больше не поддерживаются, выпущенные патчи не включают исправления некоторых предыдущих уязвимостей (например, для больших SMTP-входов, разбора TLSA и обхода SMTP-контрабанды). Их по-прежнему необходимо устанавливать отдельно.
Ситуация в очередной раз подтверждает, что даже в зрелом программном обеспечении, прошедшем десятилетия эксплуатации, могут быть критические дефекты, и своевременное обновление остаётся главной мерой защиты. Выпуск обновлений одновременно для всех поддерживаемых и части неподдерживаемых версий свидетельствует о серьёзном подходе команды Postfix к безопасности.
Ссылки
