XS4ALL

Waarschuwing: lek in sendmail

5 maart 2003

Het e-mail transport mechanisme Sendmail is kwetsbaar gebleken voor aanvallen van buitenaf. Sendmail kent een zogenaamd 'buffer overflow vulnerability', waardoor kwaadwillenden door middel van een gemanipuleerde e-mailheader root-acces tot systemen kunnen krijgen. Dit maakt e-mailservers kwetsbaar voor hackaanvallen en andere vormen van misbruik. Meer informatie vindt u op:

http://www.cert.org/advisories/CA-2003-07.html
https://gtoc.iss.net/issEn/delivery/xforce/alertdetail.jsp?oid=21950 http://www.sendmail.org/

Sendmail is standaard geïnstalleerd in veel besturingssystemen. XS4ALL adviseert iedereen die gebruik maakt van systemen waarop Sendmail geïnstalleerd is Sendmail te de-activeren. Als u Sendmail nodig heeft of niet wilt de-activeren, dan raadt XS4ALL u dringend aan de beschikbare patches te installeren. Er zijn patchesbeschikbaar voor Sendmail versies 8.9, 8.10, 8.11 en 8.12. Ook eerdere versies van Sendmail zijn kwetsbaar. XS4ALL raadt gebruikers van eerdere versies aan om Sendmail te upgraden tot versie 8.12.8. De patches vindt uhier:

http://www.sendmail.org/patchcr.html

Apple Computer, Inc. heeft Security Update 2003-03-03 beschikbaar gesteld om dit probleem te verhelpen. Er zijn updates voor Mac OS X 10.1.5 en Mac OS X 10.2.4. Sendmail is niet standaard geactiveerd bij Mac OS X, dus alleen systemen waarbij Sendmail expliciet is geactiveerd zijn kwetsbaar voor de lek. Alle gebruikers van Mac OS X wordt echter met klem aangeraden de update op hun systeem toe te passen. De update vindt u hier:
http://docs.info.apple.com/article.html?artnum=120195

Debian updates voor Sendmail en Sendmail-wide zijn beschikbaar op: http://www.debian.org/security/2003/dsa-257

Updates voor MandrakeSoft zijn beschikbaar op:
http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-20 03:028

Updates voor Red Hat Linux zijn beschikbaar op: http://rhn.redhat.com/errata/RHSA-2003-073.html

Updates voor FreeBSD zijn beschikbaar op:
ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-03:04.sen dmail.asc

Een uitbereide lijst met systemen die kwetsbaar zijn, en verwijzingen naar patches vindt u onderaan deze pagina:
http://www.cert.org/advisories/CA-2003-07.html